一个TMD WL 2.0-2.1的壳,OEP和AB找到了求解API函数和IAT地址怎么找

294746443 · 发表于 2017-12-28 04:50

一个DLL程序最近闲着无聊玩war3发现玩某些地图就会在war3生成几个文件，1.pjpass.exe 2.rb.dll 3.d3d9_42.dll 4.lua_engine.dll 5.根据系统时间生成的一个dll程序

QQ图片20171228042231.png

截图1 该dll释放的几个文件名称、释放地址在war3程序根目录

QQ截图20171228042806.png

截图2 附带exeinfo查壳结果
发现壳是TMD之后就去论坛搜索了TMD的拖壳方法，找OEP和AB函数都没问题但是在API函数的时候没法继续
利用OD下bp ZwFreeVirtualMemory断运行-完了再在DLL代码处下硬件访问断点得到了目标程序的OEP地址
QQ截图20171228043221.png

截图3 下断硬件访问断点

QQ截图20171228043442.png

截图4 找到的OEP地址
OEP=108B044B

QQ截图20171228043832.png

截图5 AB函数地址截图
AB函数=108BB23D

文件说明

文件名称：6219.dll

文件MD5：c3420110f6d3e029a1c9f1a8a85f5b61

哈勃查毒截图，用了：FindWindowEx 检测OD

软件下载地址： https://pan.baidu.com/s/1kVtKyUF 密码: cf54

如下载dll的md5值与给出的md5不符合请不要在真实系统中运行

拖TMD壳需要OEP地址、AB函数地址、API函数地址、IAT地址

OEP=108B044B
AB函数=108BB23D
OEP和AB都找到了但是API的特征码不知道怎么获取，各位大佬帮下忙咯

ladybe · 发表于 2017-12-28 10:46

前排围观大佬

newchange4xpj · 发表于 2017-12-28 15:58

向高手学习

lanyueliang518 · 发表于 2017-12-28 19:20

一般tmd壳，oep查找都很困难的

294746443 · 发表于 2017-12-29 08:04

是不是分给少了迷人来啊哈哈

billbox · 发表于 2017-12-29 12:49

坐等大牛传授技术这种却是不好对付

493688702 · 发表于 2018-8-19 11:27

学习中我也需要，感谢分享

Marriner · 发表于 2021-12-18 15:44

谁能给个特征码查找API的列表，似乎不同版本特征码都不一样

		自动登录	找回密码
密码			立即注册

一个TMD WL 2.0-2.1的壳,OEP和AB找到了 求解API函数和IAT地址怎么找

一个TMD WL 2.0-2.1的壳,OEP和AB找到了求解API函数和IAT地址怎么找