<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[pklong008的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/pklong008</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; pklong008]]></copyright><item><title><![CDATA[VMP1.8的IAT分析，同时膜拜一下Nooby大牛]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47945811</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47945811</guid><author>pklong008</author><pubDate>Mon, 24 Aug 2015 08:53:57 +0800</pubDate><description><![CDATA[首先说一说VMP1.8，当然大家认为壳很老了，直接跑脚本就可以了，但本人并不是这麽认为，本人可能比较执拗的人，一定要知其然，知其所以然（所以学得慢吧，也许，呵呵。）
看了kissy的壳世界，对VMP有一定的认识了，也在网上找了一些有关VMP1.8的文章来看了。搜到UPK，一阵暗喜，UPK有一些关於VMP的文章，可惜，我注册后过几天就关了，令人唏嘘不已。
不说了，来正题，再者PYG论坛里好像没多]]></description><category></category></item><item><title><![CDATA[ODbgscript 1.82.x Document]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47611099</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47611099</guid><author>pklong008</author><pubDate>Thu, 13 Aug 2015 13:11:05 +0800</pubDate><description><![CDATA[ODbgscript 1.82.x Document




OllyScript脚本语言是一个种类汇编的语言。你使用它来控制ODbgScript和脚本运行.
 
在后面的文档中, “源操作数” 和 “目的操作数”表示以下含义:
- 十六进制常数，既没有前缀也没有后缀。 (例如：是00FF, 而不是 0x00FF 和 00FFh的形式)
  十进制常数,在后缀中加点. (例如:1]]></description><category></category></item><item><title><![CDATA[VMP 1.6-1.7脱壳记录(淘淘文件时间修改之星1.4,)]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47341193</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47341193</guid><author>pklong008</author><pubDate>Fri, 07 Aug 2015 16:34:08 +0800</pubDate><description><![CDATA[最近在看天草的VMP和他乡的VMP教程，感觉都是脚本党啊，看了只能明白一些东西，有很多很模糊的概念，他乡这个纯碎是只讲操作不讲原理，坑爹，幸好没买他的教程，不然亏死。
因为想练习一下脱这壳，于是上菲凡下了这个东西练手：
EP：
007C3B5E >  68 394693A7     PUSH    0xA7934639
007C3B63    E8 D3541900     CALL   ]]></description><category></category></item><item><title><![CDATA[TestMessageBox 手动添加API]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47341097</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47341097</guid><author>pklong008</author><pubDate>Fri, 07 Aug 2015 16:15:09 +0800</pubDate><description><![CDATA[因为要手工导入API，因此先定位到IAT：
IMPORT_DIRECTORY
RVA:3778
size:8c
处在rdata(rva:3000,大小cf4),文件偏移(1600,大小e00)
相对区段偏移：3778-3000=778,那么实际文件FOA：1600+778=1d78
由于原来所在的IAT表不足以容纳新增的API，因此
新增一个区段:(加一个导入函数即加一个import]]></description><category></category></item><item><title><![CDATA[Enigma Protector脱壳学习记录]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47341047</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47341047</guid><author>pklong008</author><pubDate>Fri, 07 Aug 2015 16:11:59 +0800</pubDate><description><![CDATA[Enigma Protector脱壳学习记录





空间






步聚：
1：由于ENG这个壳是由一个DLL来实现加壳，因此F2断点很容易被检测，所以下二次断点，
第一次下VirtualAlloc下断，断下后在401000处下硬件写入断点，断下，找到解码的地方，然后F2到这个写入函数的RETN处，执行，然后查DELPHI第一个CALL，发现有些CALL还没解码]]></description><category></category></item><item><title><![CDATA[Obsidium 1.3重定位修复(不用补区段)]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47341019</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47341019</guid><author>pklong008</author><pubDate>Fri, 07 Aug 2015 16:11:03 +0800</pubDate><description><![CDATA[Obsidium 1.3重定位修复(不用补区段)












最近在看OB的脱壳教程,(天草壳世界),还有ximo的OB教程,今天利用空余时间,终于把程序修复成功,记录如下:



找到VirtualAlloc,VirutalProtect,利用这几个函数来找到重定位的地方,然后把重定位处理的代码用xor来代替.


到伪OEP,然后把重定位的整]]></description><category></category></item><item><title><![CDATA[OllyDbg命令行命令+汇编指令大全]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47253205</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47253205</guid><author>pklong008</author><pubDate>Mon, 03 Aug 2015 10:55:26 +0800</pubDate><description><![CDATA[OllyDbg命令行命令

以下命令适用于 OllyDbg 的命令行插件 Cmdline.dll（显示于程序的插件菜单中）
===============================================================
命令行插件支持的命令
CALC
判断表达式
WATCH
添加监视表达式
AT
在指定地址进行反汇编
FOLLOW
跟随命令]]></description><category></category></item><item><title><![CDATA[exe重定位清除，主要让WIN7的动态基址不起作用]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/47128595</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/47128595</guid><author>pklong008</author><pubDate>Wed, 29 Jul 2015 15:31:03 +0800</pubDate><description><![CDATA[若EXE有重定位表，在属性里将重定位已分离勾上，同时将重定位表的数值清零，OK，WIN7再也不用将EXE动态基址了。爽.原文在看雪：


标 题: 【原创】【脱壳修复】win7下简单处理重定位表
作 者: xhbuming
时 间: 2015-04-23,15:14:40
链 接: http://bbs.pediy.com/showthread.php?t=199895


操作]]></description><category></category></item><item><title><![CDATA[CHMmaker算法分析]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46443777</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46443777</guid><author>pklong008</author><pubDate>Wed, 10 Jun 2015 16:57:21 +0800</pubDate><description><![CDATA[原程序是upx加壳，脱壳，发现是DELPHI，然後运行，发现有过期信息，然後在messagebox下断 返回，找到函数头，F2下断，把提示那个JB给JMP掉，就没过期提示了。
由於时间没把注册机代码写出来，但是分析都差不多了：
1，取硬件序列号，serial，长整型，算得机器码的流程：
第一部份：取低16位，乘以3，加上0x260d,转成十进制字符
第二部份：整个serial按十进制输出字]]></description><category></category></item><item><title><![CDATA[浪漫情书+部份分析]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46428859</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46428859</guid><author>pklong008</author><pubDate>Tue, 09 Jun 2015 16:52:26 +0800</pubDate><description><![CDATA[本文是爆破。
aspack加的壳，脱壳，也是DELPHI所写，
运行程序，有提示程序被病毒修改，即有自校验，於是下bp CreateFileA
下断，逐步跟，发现後面调用GetFilesize取得文件大小，通过判断文件大小来比较，大於某个数值则认为文件被修改过。跳过这里即可。
正常运行了。於是下个按钮断点：
来到头部:
00488F20   .  55            PUSH ]]></description><category></category></item><item><title><![CDATA[SuperExplorer 1.54分析]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46426269</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46426269</guid><author>pklong008</author><pubDate>Tue, 09 Jun 2015 14:17:58 +0800</pubDate><description><![CDATA[upx加壳的，脱了，是DELPHI
找到按钮事件，下断，关键CALL：
00724178  |.  B8 F4576D00   MOV     EAX, unpacked.006D57F4           ;  赋EAX的值转成十进制输出就是注册码
0072417D  |.  E8 0269CEFF   CALL    unpacked.0040AA84                ;]]></description><category></category></item><item><title><![CDATA[HexEdit 3.0爆破+部份分析]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46412217</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46412217</guid><author>pklong008</author><pubDate>Mon, 08 Jun 2015 14:26:31 +0800</pubDate><description><![CDATA[HexEdit ，这个是旧版的软件，初次运行能在菜单找到一些加密算法了，可能作者的加密知识比较多啦。一开始跟了下，想看看算法，可惜功力不够，CALL有点多，也不知道加密算法，只好爆它吧。
输入注册码，字符串定位到提示，然後找到函数头部，来到这里：
004D69F0   .  6A FF         PUSH    -0x1                                  ]]></description><category></category></item><item><title><![CDATA[Magic File Renamer算法分析（注册机没能写出）]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46385709</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46385709</guid><author>pklong008</author><pubDate>Sat, 06 Jun 2015 10:04:27 +0800</pubDate><description><![CDATA[Magic file rename算法分析]]></description><category></category></item><item><title><![CDATA[EasyMoney算法分析(仅作为分析记录)]]></title><link>https://blog.youkuaiyun.com/pklong008/article/details/46385649</link><guid>https://blog.youkuaiyun.com/pklong008/article/details/46385649</guid><author>pklong008</author><pubDate>Sat, 06 Jun 2015 10:00:05 +0800</pubDate><description><![CDATA[关键CALL如下：
00597279  |.  8955 FC       mov     dword ptr [ebp-0x4], edx         ;  用户名
0059727C  |.  8B45 FC       mov     eax, dword ptr [ebp-0x4]
0059727F  |.  E8 1CDDE6FF   call    00404FA0
0059]]></description><category></category></item></channel></rss>