[收藏本方案]

AcProtect 1.41 外壳分析[16]

[入库：2005年8月19日] [更新：2007年3月24日]

本文简介：选择自 bmd2chen 的 blog
首页 上页 下页 尾页 [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69]

ea 83c40458 66c>jmp far c166:5804c483 ; far jump 00422eaf fa cli 00422eb0 f1 int1 00422eb1 83c1 04 add ecx,4 00422eb4 e8 01000000 call 00422eba 00422eb9 ^ 7d 83 jge short 00422e3e 00422ebb c404ba les eax,fword ptr ds:[edx+edi*4] ; modification of segment register 00422ebe 41 inc ecx 00422ebf 0d ae870f87 or eax,870f87ae 00422ec4 0100 add dword ptr ds:[eax],eax 00422ec6 0000 add byte ptr ds:[eax],al 00422ec8 43 inc ebx 00422ec9 83c5 ff add ebp,-1 00422ecc ^ 0f85 6affffff jnz 00422e3c ; 循环解压代码 00422ed2 e8 01000000 call 00422ed8 00422ed7 9a 83c40487 d86>call far 66d8:8704c483 ; far call 00422ede 81c0 56ffe800 add eax,0e8ff56 ...... 0042327e 83c4 04 add esp,4 ; 过了一段漫长的路，到这里 00423281 58 pop eax 00423282 e8 84e4ffff call <sub_int 1_check_debug> 00423287 47 inc edi 00423288 83c1 04 add ecx,4 0042328b 2b11 sub edx,dword ptr ds:[ecx] ...... 004232f5 90 nop 004232f6 61 popad ; 一堆检测过后，解开被保护的代码 004232f7 8b4d f0 mov ecx,dword ptr ss:[ebp-10] ; 程序代码 004232fa 68 01010100 push 10101 004232ff 68 ebebeb00 push 0ebebeb 00423304 90 nop 00423305 90 nop 00423306 60 pushad ; 后面还代码，这里继续 00423307 e8 00000000 call 0042330c 0042330c 5d pop ebp ...... 0042334f /74 03 je short 00423354 00423351 |75 01 jnz short 00423354 00423353 |90 nop 00423354 \e8 12e6ffff call <sub_fuck_int3> ;这里进去的int3会清除硬件的 00423359 85fd test ebp,edi 0042335b 0f80 02000000 jo 00423363 ...... 004235b9 81c5 e47934ee add ebp,ee3479e4 004235bf eb 01 jmp short 004235c2 004235c1 90 nop 004235c2 e8 caf0ffff call <anti_fake_unpack_check_import> ;反脱壳的检测还真不少 004235c7 e9 02000000 jmp 004235ce 004235cc 87cf xchg edi,ecx ...... 00423926 830424 06 add dword ptr ss:[esp],6 0042392a c3 retn 0042392b e9 04000000 jmp 00423934 00423930 8bf8 mov edi,eax 00423932 03f9 add edi,ecx 00423934 e9 82010000 jmp 00423abb ; 跳去执行程序的代码了 00423939 eb 01 jmp short 0042393c ...... 00423abb 61 popad 00423abc 90 nop 00423abd 90 nop 00423abe 90 nop 00423abf 90 nop 00423ac0 90 nop 00423ac1 90 nop 00423ac2 90 nop 00423ac3 90 nop 00423ac4 90 nop 00423ac5 90 nop 00423ac6 90 nop 00423ac7 90 nop 00423ac8 90 nop

首页 上页 下页 尾页 [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69]
本文关键：AcProtect 1.41 外壳分析
　　相关方案
Google
 

本站最佳浏览方式为 分辨率 1024x768 IE 6.0（或更高版本的 IE浏览器）

go top