网站 › 『=悬赏求助=』 › 关于UPX脱壳后程序无法运行

313503791 发表于 2017-7-9 18:26

千里冰封 发表于 2017-7-9 15:48
和壳较什么劲呢，不脱壳，一样逆向啊

没有思路…能不能提供一下思路

2017666 发表于 2017-7-9 18:29

https://www.52hb.com/thread-32837-1-1.html   

UPX脱壳修复   同求链接   帖子都沉了

没有人给出办法~{:5_122:}

313503791 发表于 2017-7-9 18:32

2017666 发表于 2017-7-9 18:29
https://www.52hb.com/thread-32837-1-1.html   

UPX脱壳修复   同求链接   帖子都沉了


难受(」ﾟヘﾟ)」我这个怎么弄都不行 破不了

千里冰封 发表于 2017-7-9 21:39

我也无能为力了，这是一个网络验证。在程序完全运行后，去401000处搜索Delphi按钮事件特征码：740E8BD38B83????????FF93???????? 在je下面的call上 下断，CTRL+L继续查找和下断。
输入假激活码，点登录。此时会断下来，进call，然后搜索字符串。去逆向。我没追出真码，也没爆破成功。网络验证转本地，我没测试。。。。

haier8917 发表于 2017-7-10 03:05

脱壳后50a588处的jb改为jmp

313503791 发表于 2017-7-10 10:17

haier8917 发表于 2017-7-10 03:05
脱壳后50a588处的jb改为jmp

下exitprocess断下 按暂停达到的对吗 我也试过 但是如果用真的激活码点登陆后 程序会卡死

313503791 发表于 2017-7-10 10:19

千里冰封 发表于 2017-7-9 21:39
我也无能为力了，这是一个网络验证。在程序完全运行后，去401000处搜索Delphi按钮事件特征码：740E8BD38B83 ...

谢谢大佬了{:5_188:}

313503791 发表于 2017-7-10 10:30

haier8917 发表于 2017-7-10 03:05
脱壳后50a588处的jb改为jmp

经过尝试 发现004FA7FC处的还有 如果用nop填充掉的话 就会跳第二个窗口

313503791 发表于 2017-7-10 13:46

haier8917 发表于 2017-7-10 13:26
此程序的文件验证有点麻烦：：：：在程序地址的4e7b4a的CALL里调用了多个CALL，最后经过N个系统领空后调 ...

按照大神的方法改了发现的确好了！谢谢大佬！另外小弟想问一问 {:5_191:}这种没有注册成功字符的爆破该从哪儿下手 我跟了好久的Delphi按钮事件 断下来修改过无数次 最好的一次就是 点击登陆后程序自己关闭网络验证窗口 但是不跳第二个窗口{:5_127:}大佬要是有时间 能讲一下这种思路吗

haier8917 发表于 2017-7-10 14:45

至于自校验，我录得有视频https://www.52hb.com/thread-31346-1-1.html
我录的视频有很多都是自校验的，你可以去看看
其实很多的人录视频的时候他在下面玩了再录，所以他知道下那个断点，而我是用CreateFileW和FindFirstFileA去找突破口（但是此程序用的是FindFirstFileW函数）

查看完整版本: 关于UPX脱壳后程序无法运行