telock脱壳总结.docVIP

　　telock脱壳总结～教育资源库 　　telock用fi查不出，所以如何判断是telock的壳，凭ImportRECf导出it的结果吧，乱七八糟的那种差不多就是了。初解telock的壳会感觉比较难，不过看了2个以后就不觉得有多难了。当然我略过了手动找入口的步骤，寻找程序的入口还是脱壳的关键所在也是难点。 　　用Shadoe,执行搜索，搜到后,向前找到离runtime最近的机器码为55 8B EC的地方就是程序的oep，所以delphi程序的oep最好找了。 　　脱壳详情请参考我最近写的(delphi程序) 　　脱Flashfxp 1.4的壳 　　(2)vb： 　　快速寻找入口的方法:执行程序，接着用e,执行搜索，搜到后,向前找到离runtime最近的机器码为55 8B EC的地方就是程序的oep，对应的地址是59b9e4。 　　2.脱壳： 　　telock的壳在dump之前需要用p)。然后从入口处dump，如果不是从入口dump的，一般不能用。再有用prodump dump的程序，需要手动把oep改成正确的。用天意,trp的程序稍大。其中天意在我的e系统下执行suspend死机，所以极少用，peditor dump出的程序超大。trp选dump(full)就成功啦。 　　3.重建import table： 　　以sss为例，执行sss，然后用ImportRECf导出it，是这个样子的： Target: D:TOOLSSHADOP　　DP　　DOV　　AX,[ESP+0C] 0187:006ACE2D 66AB　　　　　　　STOSOV　　EAX,EBX 0187:006ACE31 C1E803　　　　　　SHR　　EAX,03 0187:006ACE34 83E003　　　　　　AND　　EAX0187:006ACE37 8A440404　　　　　MOV　　AL,[ESP+1*EAX+04] 0187:006ACE3B AA　　　　　　　　STOSB 0187:006ACE3C B0C3　　　　　　　MOV　　AL,C3 0187:006ACE3E AA　　　　　　　　STOSB 0187:006ACE3F 66B8FF35　　　　　MOV　　AX,35FF 0187:006ACE43 EB2D　　　　　　　JMP　　006ACE72 0187:006ACE45 8B442408　　　　　MOV　　EAX,[ESP+08] 0187:006ACE49 AB　　　　　　　　STOSD 0187:006ACE4A 4F　　　　　　　　DEC　　EDI 0187:006ACE4B EBEF　　　　　　　JMP　　006ACE3C 018 1234下一页 友情提醒：，特别！7:006ACE4D 668B44240C　　　　MOV　　AX,[ESP+0C] 0187:006ACE52 66AB　　　　　　　STOSOV　　AL,C3 0187:006ACE56 AA　　　　　　　　STOSB 0187:006ACE57 8BC3　　　　　　　MOV　　EAX,EBX 0187:006ACE59 C1E803　　　　　　SHR　　EAX,03 0187:006ACE5C 83E003　　　　　　AND　　EAX0187:006ACE5F 8A440404　　　　　MOV　　AL,[ESP+1*EAX+04] 0187:006ACE63 AA　　　　　　　　STOSB 0187:006ACE64 66B8FF35　　　　　MOV　　AX,35FF 0187:006ACE68 EB08　　　　　　　JMP　　006ACE72 0187:006ACE6A 8B442410　　　　　MOV　　EAX,[ESP+10] 0187:006ACE6E AB　　　　　　　　STOSD 0187:006ACE6F 4F　　　　　　　　DEC　　EDI 0187:006ACE70 EBCA　　　　　　　JMP　　006ACE3C 0187:006ACE72 E28C　　　　　　　LOOP　　006ACE00 0187:006ACE74 66AB　　　　　　　STOSOV　　[EBP+0040B09A],EDI　//MOV　　[EBP+0040B09A],EBX 　　　　　　　899D9AB04000 0187:006ACE80 8BBD9AB04000　　　MOV　　EDI,[EBP+0040B09A]　//MOV　　EDI,[EBP+0040B0A2] 　　　　　　　8BBDA2B04000 0187:006ACE86 8B85A2B04000　　　MOV　　EAX,[EBP+0040B0A2] 0187:006