一个垃圾无壳E盾的全程懵逼解法

xiatianwl · 发表于 2021-10-3 16:00

首先说明我也不知道原理实属瞎猫碰见死耗子了
萌新小白从别人手里拿到的一款软件
软件就不放了
首先试了试通杀

写内存字节集 (进程ID, 十六到十 (“7270BE”) ,还原字节集2 (“39 39 39 39 39 39 39 39”))
写内存字节集 (进程ID, 十六到十 (“4C617E”) ,还原字节集2 (“90 90 90 90 90 90”))
写内存字节集 (进程ID, 十六到十 (“5930D3”) ,还原字节集2 (“B8 01 00 00 00 C3 90 90 90”))
写内存字节集 (进程ID, 十六到十 (“41C325”) ,还原字节集2 (“B8 BE 70 72 00 C9 C3 90 90”))
写内存字节集 (进程ID, 十六到十 (“40A07A”) ,还原字节集2 (“C3”))
写内存字节集 (进程ID, 十六到十 (“40CE90”) ,还原字节集2 (“B8 01 00 00 00 C3 90 90 90”))
写内存字节集 (进程ID, 十六到十 (“454CE0”) ,还原字节集2 (“C3”))
写内存字节集 (进程ID, 十六到十 (“422DE9”) ,还原字节集2 (“B8 BE 70 72 00 C9 C3 90 90”))
写内存字节集 (进程ID, 十六到十 (“409B0E”) ,还原字节集2 (“C3”))

结果不行直接卡死
然后查壳
没有壳
扔进E-Debug分析
然后居然分析出来俩窗口？
1 52010001
2 52018897
这两个
然后拖进OD 小插件登陆跟合法断点
$W~@D2MS}C0BFFDN)_{GX}27.png$
直接去FF25
$1M$KPT`C_~6O]{9W7R}EO_N.png$
找到了其中一个窗口
然后运行断点在登陆后直接JMP
$_%O%M1O2)MTG56]AKL{_Q17.png$
RU5C_[Y(77WMII1D8YO0ZOT.png

问题来了没效果= = 于是我把push改成了另一个窗口52010001
GY2RZ`XN$ZMIY[1]L8Y7ZB2.png

然后神奇的事情出现了

@80T`V]T})ZCBPSQOS2]5ZJ.png

窗口出来了测试了也有效果 - -
当然也可以直接用易语言写个命令直接PUSH出来窗口那样更简单

小白看看就好大佬勿喷还有这玩意不适用其他程序= = 当然要是有无壳E盾没被V的话也可以试试

aゞ烛火 · 发表于 2021-10-3 21:26

V掉FF25你如何处理（我个人没问题

xiatianwl · 发表于 2021-10-3 22:01

aゞ烛火发表于 2021-10-3 21:26
V掉FF25你如何处理（我个人没问题

就是无壳没V而且枚举了窗口才这么破着玩的，我自己都没想到直接跳过去能运行

狼巢 · 发表于 2021-10-14 14:19

现在有二次

1470214701 · 发表于 2021-11-8 15:47

谢谢分享

保安 · 发表于 2021-12-9 18:55

感谢分享那加了VMP壳应该如何处理

拿着雪糕 · 发表于 2022-1-25 12:06

学习大佬经验

king51999 · 发表于 2022-1-25 12:46

学习大佬经验

allenzjb · 发表于 2022-1-25 13:02

谢谢分享

DGY24736 · 发表于 2022-2-22 02:00

谢谢分享

		自动登录	找回密码
密码			立即注册

[原创逆向图文] 一个垃圾无壳E盾的全程懵逼解法

评分