利用工具半自动修复VMP3.5壳的变异IAT

发布者: 学编程的闹钟 | 发布时间: 2024-2-27 12:18| 查看数: 30697| 评论数: 91|帖子模式

本帖最后由学编程的闹钟于 2024-3-2 14:05 编辑

本教程不讲解过反调试,寻找并修复OEP等内容, 只讲解修复变异IAT的部分, 有疑问或者错误的地方可以指出来, 用到的工具有x32dbg vmp3-import-fix-x86 Universal Import Fixer Imports Fixer, 除了x32dbg调试器,其余软件都在附件可以下载
第一步:调试器调试到OEP后暂停(记下OEP地址和进程ID), 可以看见下图中的call FD320A, FD320A这个地址会跳转到.vmp0段, 这里应该是直接调用GetVersion函数的;

第二步:以管理员打开cmd, 执行"vmp3-import-fix-x86 -p 之前记下的进程ID"命令, 执行完命令后随便用个工具dump出来;

第三步:以管理员打开Universal Import Fixer, 进程ID填写之前记下的进程ID, 代码始于和代码止于自己看自己的调试器中的地址填写, 新的IAT VA可以不填写, 勾选修复输入表, 点击开始, 等待修复完后就进行下一步

第四步:以管理员打开Imports Fixer, 进程列表中选择正在调试的进程, 点击IT&IAT, 代码区段中选择.text, OEP填写之前记下的OEP地址, 点击获取导入表, 把无效指针都去掉, 点击修正转储, 选择之前dump出来的文件, 最后dump出来的文件就已经修复完变异IAT啦, 可以把.vmp0和.vmp1区段头和数据全部删除啦

觉得可以的话,给个评分吧!

反调试, VMP, 修复, 进程, 变异

vmp3-import-fix-x86.zip

1.69 MB, 下载次数: 94, 下载积分: HB -3

Imports Fixer V1.6.zip

1.51 MB, 下载次数: 86, 下载积分: HB -3

Universal Import Fixer V1.2.zip

388.37 KB, 下载次数: 49, 下载积分: HB -3

评分

参与人数 26	HB +38	THX +13	收起理由
w5151183	+ 2		[吾爱汇编论坛52HB.COM]-吃水不忘打井人，给个评分懂感恩！
嗜血狂魔	+ 1	+ 1
一念轮回		+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
楼下大王	+ 1
居然要中文	+ 1		[吾爱汇编论坛52HB.COM]-学破解防破解，知进攻懂防守！
吃麻花麻花疼	+ 2	+ 1	[吾爱汇编论坛52HB.COM]-学破解防破解，知进攻懂防守！
动动	+ 1
努力学的小白	+ 2	+ 1
希言自然	+ 1
xiaoxixpj	+ 1		[吾爱汇编论坛52HB.COM]-软件反汇编逆向分析，软件安全必不可少！
追梦者小豪	+ 1		--------
花盗睡鼠	+ 2	+ 1	[吾爱汇编论坛52HB.COM]-学破解防破解，知进攻懂防守！
白丁老师	+ 1		[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
消逝的过去		+ 1
weekmio	+ 1
东方红	+ 1		[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
gps		+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
再来壹瓶	+ 1		[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
NOP	+ 2
笑面虎	+ 1
周大人	+ 2	+ 1	[吾爱汇编论坛52HB.COM]-吃水不忘打井人，给个评分懂感恩！
虚心学习		+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
52bug	+ 6	+ 1	[吾爱汇编论坛52HB.COM]-软件反汇编逆向分析，软件安全必不可少！
绿色耀西	+ 2	+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
dircou	+ 2	+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！
jjyjjy003159	+ 4	+ 1	[吾爱汇编论坛52HB.COM]-感谢楼主热心分享，小小评分不成敬意！

查看全部评分

		自动登录	找回密码
密码			立即注册

利用工具半自动修复VMP3.5壳的变异IAT

评分

最新评论

点评

点评