IAT修复与代码处理技术.pdfVIP

IAT修复(默认)

说面:

这里主要介绍写代码

找地址:

ESP定律来到OEP:004536D8

ImportREC获取CodeStartCodeEnd（也可以手动获取）

CodeStartA6C4‑0045A6C4

CodeEndAC68‑0045AC68

IAT修复(默认)

说面:

这里主要介绍写代码

找地址:

ESP定律来到OEP:004536D8

ImportREC获取CodeStartCodeEnd(也可以手动获取)

CodeStart:A6C4-0045A6C4

CodeEnd:AC68-0045AC68

获取补丁虚拟地址零虚拟地址

随便找到加密的API，进去

补丁虚拟地址:009EB0C5(每个系统这个地址都不同,注意下)

进入地址009E9CC8

零虚拟地址:9FAF60

写代码:

用分配内存插件申请内存,开始写代码代码:

moveax,9EB0C5//补丁虚拟地址movdwordptr

ds:[eax],24048B3E/构建指令addeax,4mov

dwordptrds:[eax],C304C483///构建指令mov

esi,45A6C4//CodeStartmovedi,45AC68//

CodeEndaddedi,4moveax,dwordptrds:[esi]

calleax//调用加密的API地址，返回的API地

址movdwordptrds:[esi],eax//保存mov

dwordptrds:[9FAF60],0//零置零addesi,4

获取PatchVAZeroVA

随便找到加密的API，进去

PatchVA:009EB0C5(每个系统这个地址都不同，注意下)

进入地址009E9CC8

ZeroVA:9FAF60

写代码:

用AllocMemory插件申请内存,开始写代码

代码:

moveax,9EB0C5//PatchVA

movdwordptrds:[eax],24048B3E/构建指令

addeax,4

movdwordptrds:[eax],C304C483///构建指令

movesi,45A6C4//CodeStart

movedi,45AC68//CodeEnd

addedi,4

moveax,dwordptrds:[esi]

calleax//调用加密的API地址,返回的API地址

movdwordptrds:[esi],eax//保存

movdwordptrds:[9FAF60],0//Zero置零

addesi,4

cmpesi,45AB24//特殊API加密地址1，跳过调用，否则

出错jnzshort00D0003Faddesi,4cmpesi,45ABC8//

特殊API加密地址2jnzshort00D0004Aaddesi,4c

mpesi,45ABD4//特殊API加密地址3jnzshort

00D00055addesi,4cmpesi,edi//是否全部调用完je

short00D00061moveax,dwordptrds:[esi]test

eax,eax//如果为0，则继续下个地址。jeshort

00D00031jmpshort00D00021//跳到调用地址

构建返回指令：

moveax,9EB0C5mov双字节内

存操作:[eax],24048B3Eadd

eax,4mov双字节内存操

作:[eax],C304C483

没有写数据：

cmpesi,45AB24//特殊API加密地址1