完美的世界 迅雷下载出现Mole box launcher fatal error怎么办

来源：蜘蛛抓取(WebSpider) 时间：2016-10-18 09:37 标签： mole box
手动脱Mole Box壳实战小结 - 系统运维当前位置:& &&&手动脱Mole Box壳实战小结手动脱Mole Box壳实战小结&&网友分享于：&&浏览：0次手动脱Mole Box壳实战总结作者：Fly2015
这个程序是吾爱破解脱壳练习第期的加壳程序，该程序的壳是壳，这些都是广告，可以直接无视了。前面的博客手动脱壳实战中已经给出了一种比较笨的脱壳的方法，在进行脱壳程序的表的修复的时，采用的是手动记录系统的地址然后手动的去恢复被加密的系统的方法，很挫。下面就来讲一讲稍微好点的修复表的方法。
回顾一下前面找加壳程序原的步骤。
使用ESP定律进行该加壳程序的脱壳，在硬件写入断点断下来以后，单步F7到地址处，发现指令中的EAX保存是加壳程序真实的VA地址。
被加壳程序的真实被找到了，但是使用的插件或者或者是进行程序的脱壳，然后运行程序，发现脱壳后的程序运行出错。
随后找到原因，原来是有部分函数的地址被加密处理了，具体的被加密的函数如图所示。很显然，地址处保存的系统的函数地址是第一个被加密处理（具体的怎么找表的方法，看前面的博客）。
Ctrl+F2再次动态调试分析程序，为要找到IAT表中的函数是怎么被加密处理的，需要在地址处下型的硬件写入断点，次后地址处被加密的系统的函数的地址显示出来了，如图。通过调用函数获取到的系统函数的地址保存到了ds:[ECX]中，值得注意。
F8单步调试程序走几步，发现地址处调用的函数使用来给表中系统进行加密处理的。
F7单步跟进函数进行分析发现，通过置换的方式将ds:[ECX]处的函数地址给修改了。
OK，程序在调用被加密处理的表中函数时，最终函数调用的还是系统的也就是说只是给系统的增加了调用的代理函数。既然是这样，那就将修改表中系统函数的代码给掉也就是掉。
将修改IAT表中函数调用地址的汇编代码mov&dword&ptr&ds:[ecx],&eax修改为两条nop指令，然后单步运行程序，没什么问题。
F9运行程序，由于根据定律下的硬件写入断点还在，因此程序会断在设置的硬件写入断点处，单步几步即可找到程序真实，如图。
很显然，加壳程序的真实OEP的地址为，跟进到处。工具搞起，使用结合或者（剪切掉无效的函数指针）对加壳程序进行完美的脱壳。
运行一下脱壳后的程序，验证脱壳成功。
手动脱Mole Box壳总结文档和脱壳程序的下载地址:http://download.csdn.net/detail/qq/8908073
版权声明：本文为博主原创文章，未经博主允许不得转载。
12345678910
12345678910
12345678910 上一篇：下一篇：文章评论相关解决方案 1234567891011 Copyright & &&版权所有软件脱壳练习（9）
作者：Fly2015
这个程序是吾爱破解脱壳练习第期的加壳程序，该程序的壳是壳，之前也碰过该种壳但是这个程序似乎要复杂一点。
首先对加壳程序进行侦壳处理。
Exeinfo&PE侦壳的结果：
DIE侦壳的结果，很显然告诉我们被加壳程序的源程序使用编写的，这个比较有用，对于我们找到程序的真实很有帮助作用。
OD载入该加MoleBox&V2.6.5壳的程序，入口点汇编的代码如图。看到，我们很自然会想到使用定律进行脱壳。单步走到的下一条指令即地址处，选择寄存器，右键硬件断点，运行程序。
程序在刚才下硬件写入断点的地址处断了下来，如图。
单步F7到地址处，发现指令中的EAX保存是加壳程序真实的VA地址。
F7跟进到地址处查看，汇编代码是不是很熟悉？典型的程序的入口点汇编代码。说实话，我不怎么喜欢程序的反汇编，因为对于程序的反汇编没有比较理想的工具。
OK，被加壳程序的真实找到了，是不是就可以直接给程序脱壳完事呢？试一试就知道了。使用的插件或者或者是进行程序的脱壳，然后运行程序，结果如图。
程序运行的不友好界面又出现了。被加壳程序的真实地址已经找到了，但是程序运行还是出了问题，那么很有可能是程序的没有修复好。在进行程序的修复的时候，直接将程序中显示的无效函数地址给剪切了。经过观察发现，被剪切的无效函数不是系统的导出函数，但是一般被加壳程序的表中的函数地址结尾的标记是或者。后来经过参考吾爱破解上的帖子才知道，原来是有部分函数的地址被加密处理了。
下面使用OD在程序的内存数据中查找表保存的内存位置。当找到了被加壳程序的真实的OEP以后，就可以在原程序真实地址以后（被加壳原程序）代码中去查找被加壳原程序的的保存地址即找到表的入口地址。
从上面找到的代码中，观察发现跟进地址0040658C处就能找到调用系统导出函数的代码。果然，跟进以后找到了程序调用系统函数的地方，比较明显的是在地址处保存着函数的调用地址。
在该程序的内存数据区Ctrl+G到地址处找到了函数地址的保存位置。
上下拖动一下OD的数据区的滚动条，就可以找到表的起始地址0045512C和表的结束地址并且表的大小为5F8。
在IAT表发现了被加密的系统函数的位置。很显然，被加密处理的表中的函数地址在系统的中是不存在，的解析中没有对应的系统函数，如图。
现在的任务就是将这部分加密的系统函数恢复还原出来。
Ctrl+F2让再次调试载入被加壳的程序，删除之前下的硬件写入断点，内存数据区到表的起始地址0045512C处，然后找到表中所有的被加密的系统函数的保存地址如处，选择这些地址&右键下型的硬件写入断点，几次以后被加密的系统函数地址显示出来了，然后将这些函数地址记录下来。
下面是经过上面这种方法记录下来的被加密系统API函数的地址。
被加密系统API函数的地址没有恢复之前，用看到的表函数的结果是有个无效函数地址。
离被加壳程序脱壳又进了一步。Ctrl+F2让再次运行程序进行分析，删除前面下的所有类型的断点。再次根据ESP脱壳定律，用之前的方法找到该程序的真实的的地址并运行到此即地址处。在的内存数据区到表的起始地址0045512C处，然后找到表中被加密系统函数的地址处，根据前面的记录的系统函数的正确地址手动将加密的函数地址修改过来，如图。
手动将加密的系统API函数的地址修改正确之后，用Scylla_x86看到的表函数的结果，如图。
OK，大功告成。直接用OD的插件在程序真实的的为处进行进程就可以完成改程序的完美脱壳了。或者使用结合进行程序的和表的修复，完成程序的脱壳。或者直接使用工具进行先程序然后进行。
但是在使用工具的时候请注意和所填写的数据不一样，前者填入的地址，后者填写的地址。
程序脱壳成功，运行验证一下，如图。
总结，上面的脱壳的方法是挫了点，但是思路没有错还是解决了问题，后面有空研究一下，其他比较好的脱壳的方法。
Mole Box V2.6.5脱壳分析文档以及完美脱壳后的程序的下载地址：
吾爱破解脱壳练习第期的地址。
吾爱破解脱壳练习第期脱壳分析的地址。
参考知识库
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：60472次
积分：1395
积分：1395
排名：千里之外
原创：70篇
评论：39条
阅读：3918
文章：16篇
阅读：13743
文章：10篇
阅读：6612
(3)(4)(1)(3)(3)(2)(17)(16)(3)(7)(6)(1)(10)(4)今天看啥 热点：
手动脱Mole Box壳实战总结，molebox壳实战
作者：Fly2015
这个程序是吾爱破解脱壳练习第8期的加壳程序，该程序的壳是MoleBox&V2.6.5壳，这些都是广告，可以直接无视了。前面的博客手动脱Mole&Box&V2.6.5壳实战中已经给出了一种比较笨的脱壳的方法，在进行脱壳程序的IAT表的修复的时，采用的是手动记录系统API的地址然后手动的去恢复被加密的系统API的方法，很挫。下面就来讲一讲稍微好点的修复IAT表的方法。
回顾一下前面找加壳程序原OEP的步骤。
使用ESP定律进行该加壳程序的脱壳，在硬件写入断点断下来以后，单步F7到地址处，发现Call&eax指令中的EAX保存是加壳程序真实OEP的VA地址0045159C。
被加壳程序的真实OEP被找到了，但是使用OD的插件OllyDump或者Load&PE+ImportREC或者是Scylla_x86进行程序的脱壳，然后运行程序，发现脱壳后的程序运行出错。
随后找到原因，原来是有部分函数的API地址被加密处理了，具体的被加密的函数如图所示。很显然，地址处保存的系统API的函数地址是第一个被加密处理（具体的怎么找IAT表的方法，看前面的博客）。
Ctrl+F2再次动态调试分析程序，为要找到IAT表中的函数是怎么被加密处理的，需要在地址处下Dword型的硬件写入断点，4次F9后地址处被加密的系统API的函数的地址显示出来了，如图。通过调用GetProcAddress函数获取到的系统API函数的地址保存到了ds:[ECX]中，值得注意。
F8单步调试程序走几步，发现地址00470F42处调用的函数使用来给IAT表中系统API进行加密处理的。
F7单步跟进函数进行分析发现，通过置换的方式将ds:[ECX]处的函数地址给修改了。
OK，程序在调用被加密处理的IAT表中函数时，最终函数调用的还是系统的API也就是说只是给系统的API增加了调用的代理函数。既然是这样，那就将修改IAT表中系统API函数的代码给path掉也就是NOP掉。
将修改IAT表中函数调用地址的汇编代码mov&dword&ptr&ds:[ecx],&eax修改为两条nop指令，然后F8单步运行程序，没什么问题。
F9运行程序，由于根据ESP定律下的硬件写入断点还在，因此程序会断在设置的硬件写入断点处，F8单步几步即可找到程序真实OEP，如图。
很显然，加壳程序的真实OEP的VA地址为0045159C，F7跟进到OEP处。工具搞起，使用Load&PE结合ImportREC或者Scylla_x86（剪切掉无效的函数指针）对加壳程序进行完美的脱壳。
运行一下脱壳后的程序，验证脱壳成功。
手动脱Mole Box壳总结文档和脱壳程序的下载地址:http://download.csdn.net/detail/qq/8908073
版权声明：本文为博主原创文章，未经博主允许不得转载。
相关搜索：
相关阅读：
相关频道：
&&&&&&&&&&&&
系统综合最近更新

我要回帖

更多关于 mole box 的文章

 

随机推荐