关于 inc2l

inc2l 可以帮助我们将 .inc 文件转换为 .lib 文件。

关于 bug

如果转换成功,会在当前目录下产生一个 kernel32.lib

这里写图片描述

但是,如果该文件不在其原来的安装目录下,那么转换时将会失败,什么提示也没有。

这里写图片描述

分析

#1

因为 inc2l 是加壳文件,用 esp定理 将壳脱去。使用 OD dump 出来后,可以再使用导入表恢复工具将导入表修复完整,程序就可以正常运行了。

这里写图片描述

#2

用 OD 将程序以输入命令的方式打开 inc2l。因为我们知道,如果生成一个 .lib 文件,必定会调用函数 CreateFileWriteFile 等 API,所以需要先在 CreateFileWriteFile 这两个 API 中下断点观察。使用快捷键 Ctrl + N,找到 CreateFileWriteFile 下断点。

#3

一路运行下去,发现该程序首先创建了 .asm 文件以及 .def 文件

这里写图片描述

#4

继续运行观察,在 WriteFile 里面,发现程序在像文件中写入了汇编代码。于是猜测,是否程序是通过编写汇编代码来编译链接生成 .lib 文件的。

这里写图片描述

#5

为了验证猜测,我们观察 WriteFile 之后的一系列操作,发现在某个地方的见到了许多熟悉的汇编代码

这里写图片描述

如果此刻我们使用 OD 的查找字符串功能,我们可以找到 编译链接 的命令,但是它的地址是相对地址,这也就解释了为什么该程序必须在安装目录下才能执行。

这里写图片描述

#6

如果在程序编译前停止调试,打开 asm 文件,可以看到里面是一堆的函数声明

这里写图片描述

结论:改程序是通过读取 .inc 中的函数名,创建 .asm 以及 .def。并用编译器和连接器来生成 .lib 的。

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值