Question

求助，关于ASPack脱壳的问题

Answer 1

简单说下壳为MoleBoxV2.3X这个程序。内存镜像可以直接到oep不过你会发现iat全是无效的。所以这里直接跑脚本。varvfindeip,#60#cmp$RESULT,eipjepushadbp$RESULTrunbc$RESULTpushad:stomovv,espbphwsv,"r"runbphwcvfindeip,#FF?0#cmp$RESULT,eipjeendbp$RESULTrunbc$RESULTend:sticmteip,"OEPfound"msg"Dump&fixtheIAT"ret跑完脚本停在程序OEP处。然后不关闭OD用ImpREC填入OEP的值，此时选择无效指针先剪切dump程序然后转储覆盖下dump出来的文件。此时别高兴的太早。运行你会发现缺少东西。这个捆绑壳。你dump没把程序完全dump出来。所以会提示你缺少什么。此时你需要单独提取下程序之前的内容。然后单独dump出来。我勒个去。输入法秀逗。编辑好几次才发完查看答案>>