爱杀之爪的矩阵

一.脱壳基础知识要点1.PUSHAD :（压栈） 代表程序的入口点2.POPAD  :（出栈） 代表程序的出口点，与PUSHAD想对应.看到这个,就说明快到OEP了.3.OEP:程序的入口点,软件加壳就是隐藏OEP.而我们脱壳就是为了找OEP.            二.脱壳调试过程中辨认快到OEP的简单方法下面二个条件是快到OEP的共同现象:若出现下面情况时,说明OEP就要到了:1. OD跟踪过

首先是anti    OD。1、IsDebuggerPresent   BOOL IsDebuggerPresent(VOID)   这个函数相信大家用得最多。但是也没有什么用处。随便都可以被搞定。微软说：If the current process is running in the context of a debugger, the return value is nonzero. If t

【文章标题】: 算法分析实战篇和应用篇之提高（一）我的常用断点系统 【文章作者】: NBA2005【作者邮箱】: stockfox1699@126.com【作者QQ号】: 382309369【软件名称】: 小蜜蜂和check 求解没有任何提示的crackme算法【下载地址】: http://bbs.pediy.com/showthread.php?t=56420  小蜜蜂             

bool InstallAntiAttach(){     HMODULE ntdll;                   // ntdll handle     void* pDbgUiRemoteBreakin;       // function handle     DWORD dwOldProtect;              // just for fun     DWORD dw

<br /> push     edx<br />        push     ecx<br />        push     ebx<br />        mov      eax, 'VMXh'<br />        mov      ebx, 0 // any value but not the MAGIC VALUE<br />        mov      ecx, 10 // get VMWare version<br />        mov      edx, 'VX'

<br />        搞了N个od都不行，要么直接跑起来，要么没反应，最终下了个原版的OD2.0版本搞定，不过这个版本啥功能都没<br /> <br />太简陋了，连dump进程都得loadpe来完成，还不支持插件，冏搞了一晚上，勉强把UltraProtect 1.x -> RISCO Software Inc. <br /> <br />给脱掉了，并修复好输入表。这个是asprotect很早的版本了，这个壳对我来说太强大了。相信总有一天能脱掉的！呵呵，od的自动<br /> <br />跟踪功能很强

[原创] CrackMe【手动脱壳+简单算法分析+Bug公布】本帖最后由 HPKEr 于 2010-1-30 09:32 编辑 <br /><br />【文章标题】: CrackMe【手动脱壳+简单算法分析+Bug公布】<br />【文章作者】: HPKEr<br />【软件名称】: CrackMe<br />【软件大小】: 61.88KB<br />【下载地址】: http://xz.qupan.com/down/945520_5747357.html<br />【加壳方式】: PESpin 0.3x -

Base32

<br />A-B<==>not(not(A)+B)<br />not(A) And not(B)<====>not(A OR B)<br />not(A) Ornot (B)<====>not(A AND B)<br />P指的是Not or，如P(a,b)=not(a or b);<br />P(a,b) = ~a & ~b<br />not(a) = P(a,a) <br />and(a,b)= P(P(a,a),P(b,b))<br />or(a,b) = P(P(a,b),P(a,b))<br /

<br />这个crackme是aspack 1.6的壳，很简单，直接能看见popad jmp eax<br /> <br />这个是个dephi的程序<br />直接叫上dede看下窗口过程然后下断就可到达关键部分，下断：00455504<br />00455504  /.  55                  PUSH EBP<br />00455505  |.  8BEC                MOV EBP,ESP<br />00455507  |.  B9 04000000      

<br />这个壳每执行一个函数或者步骤都要先去堆栈中跑一圈然后回来 调用API是先获取地址，然后自己拷贝一份到自己分配的内存中，然后执行这个copy的在调回去 一般可以在该API的retn处下断点 总共有3处anti debug的一处是ZwSetInfomationThread一处是ZwQueryInformationProcess一处是OutDebugStringA 在第一次调用ZwSetInfomationThread检测是否有调试之前都不能下硬件断点的，这个壳用硬件断点来解码的，如果下了硬件

<br />http://bbs.driverdevelop.com/read.php?tid-122701.html <br /> <br /> <br /> 

 看.Net加密解密书 看见说用editplus来看il的代码,于是去下载了个回来玩玩 发现要注册码,然后就发生了下面的一幕 004ABF90 . 81EC 34020000 SUB ESP,234004ABF96 . A1 84455700 MOV EAX,DWORD PTR DS:[574584]004ABF9B . 33C4 XOR