PECompact.v1.80.b2解密详解

找到控件的属性值，做相应修改...这里主要依靠Unicode的特殊性加快速度 1)P.L.E.A.S.E. .R.E.G.I.S.T.E.R.! 注意前面最近的P(0x50)(文件偏移0x13017)，我想实际应该是0x50 02 00 00 是指这个控件的属性。根据查到的WINDOWS.INC知道WS_VISIBLE = 0x10 00 00 00。 所以将0x50 -> 0x40将会使这个控件不可见 经过对脱壳文件的修改(我实际是动态调试的)，可以确定这个结论... 注意：这里为了做SMC补丁必须计算修改的地方位于内存的地址 使用LordPE查看SECTION： VOffset VSize ROffset RSize .src 00014000 00003000 00012400 00002128 Memory Address = Imagebase 0x00014000 (0x00013017 - 0x00012400) = 0x00414C17 得到：MOV b,[00414C17],40 2)S.T.A.T.I.C Memory Address = Imagebase 0x00014000 (0x000131EB - 0x00012400) = 0x00414DEB 得到：MOV b,[00414DEB],40 3)...这个特征不明显，我是根据R.e.s.t.r.a.t.i.o.n. .I.n.f.o.m.a.t.i.o.n 相对位置推的。准确定位我还不会...:) Memory Address = Imagebase 0x00014000 (0x000132D7 - 0x00012400) = 0x00414ED7 得到：MOV b,[00414ED7],40 ///////////////////////////////////////////////////////////////////// // // 第3步：在即将进入OEP前的地方加上自己的补丁代码 // ///////////////////////////////////////////////////////////////////// 即将转入OEP的代码，可是直接在PECOMPACT.EXE里找不到哦...:)(多重的...) 00441551 6800E04300 PUSH DWORD 0043E000 00441556 C204 RET 04 BPM 00441551...看看这里的代码是什么时候放进来的 0044119E F3A5 REP MOVSD 执行完后就...不用想了，追ESI->...查到004425FC是这段代码。接着下BPM 004425FC 这里具体怎么传数据我倒不用管(我可以在传输完整片数据后补)，F12到了以下 片段： 004442AF 5D POP EBP 004442B0 2B7D0C SUB EDI, [EBP 0C] 004442B3 8BC7 MOV EAX, EDI 004442B5 C9 LEAVE 004442B6 C208 RET 08 注意：这里你会发现所处位置"PECOMPACT!.rsrc"...而且底下一片0000...000 呵呵，还不偷着乐? 00441551 6800E04300 PUSH DWORD 0043E000 //我要改这条指令，转向我要补的修改代码 //留些余地，暂时改为JMP 004442D0(E97A2D0000) //最后可修正为JMP 004442C3(E96D2D0000) 00441556 C204 RET 04 ///////////////////////////////////////////////////////////////////// 004442AF 5D POP EBP 004442B0 2B7D0C SUB EDI, [EBP 0C] 004442B3 8BC7 MOV EAX, EDI //MOV d,[00441551],002D7AE9 //MOV b,[00441555],00 -> 本无必要，但...我在修 //改1.68版时发现这里移的数据在后面会加上ImageBase //所以要进行修正(因为会是个负数，所以这里要留着) //呵呵，这个版本还方便些...不过知道思想就好 004442B5 C9 LEAVE 004442B6 C208 RET 08 ///////////////////////////////////////////////////////////////////// // // 小结一下修改的代码 // ///////////////////////////////////////////////////////////////////// 004442B5 MOV d,[00441551],002D6DE9 004442BF LEAVE 004442C0 RET 08 004442C3 MOV b,[00414C17],40 004442CA MOV b,[00414DEB],40 004442D1 MOV b,[00414ED7],40 004442D8 MOV b,[0040542F],C3 004442DF MOV d,[004053A6],00444300 //位于文件偏移12900处，写上大名啊 004442E9 PUSH 0043E000 004442EE RET 04 ///////////////////////////////////////////////////////////////////// 呵呵，拙文...是分析ViRiLiTY的解密文件整理而成的。One Lamer more...:) ///////////////////////////////////////////////////////////////////// // // 谨以此文献给茁壮成长的iPB(inside Pandora’s Box - 原OCG)... // // Personal Greeting To: [AFO] [CCG] [BCG] Members & All My Friends // /////////////////////////////////////////////////////////////////////

最新评论