您的位置：标题：让侦测工具把壳识别为VC++
时间：2005-8-5 来源：不详 浏览数：次
Written By LiNSoN
一时找不到好的例子程序,向朋友要了一个易语言编译的窗口空程序演示一下-_-!
目标文件:Target.exe
加个壳:SVKP 1.3x -> Pavol Cerven[注:Cracked],PEiD正确识别出来了.记下入口点:5000
用ToPo增加大约128字节的空间[注:个人爱好而定],进入LordPE的PE Editor,打开Target.exe,
把.topo0段名改为.text,装的更像一点[注:也可以个性一点改成自己的大名,不影响结果]
记下VOffset:13000,把入口点改为这个值.OllyDbg载入Target.exe,轰~我们来到了一个异常,
向上拉动滚动条,来到413000处改写代码:
;----------------------------------------------------------------
;伪造VC++入口代码特征
;assume fs:nothing
push ebp
mov ebp,esp
push -1
push 666666
push 888888
mov eax,fs:[0]
push eax
mov fs:[0],esp
;下边再恢复
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
;----------------------------------------------------------------
别忘了jmp 405000,也就是壳的入口点.选中修改过的代码按右键,把它保存为newTarget.exe.
PEiD侦测一下:Microsoft Visual C++,并且运行正常,任务完成.
（责任编辑：笑虎）
一时找不到好的例子程序,向朋友要了一个易语言编译的窗口空程序演示一下-_-!
目标文件:Target.exe
加个壳:SVKP 1.3x -> Pavol Cerven[注:Cracked],PEiD正确识别出来了.记下入口点:5000
用ToPo增加大约128字节的空间[注:个人爱好而定],进入LordPE的PE Editor,打开Target.exe,
把.topo0段名改为.text,装的更像一点[注:也可以个性一点改成自己的大名,不影响结果]
记下VOffset:13000,把入口点改为这个值.OllyDbg载入Target.exe,轰~我们来到了一个异常,
向上拉动滚动条,来到413000处改写代码:
;----------------------------------------------------------------
;伪造VC++入口代码特征
;assume fs:nothing
push ebp
mov ebp,esp
push -1
push 666666
push 888888
mov eax,fs:[0]
push eax
mov fs:[0],esp
;下边再恢复
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
;----------------------------------------------------------------
别忘了jmp 405000,也就是壳的入口点.选中修改过的代码按右键,把它保存为newTarget.exe.
PEiD侦测一下:Microsoft Visual C++,并且运行正常,任务完成.
（责任编辑：笑虎）
其他文章
- 上一篇文章： 如何通过崩溃地址找到出错的代码行
- 下一篇文章： 调用加壳的外壳中的子程序
最近更新
今日推荐
热点文章