VMP脱壳教程-荒野行动某FZ脱壳分析

njnovell · 发表于 2018-9-1 15:52

看帖回帖是一种美德，也是对楼主的支持。

hhxx26 · 发表于 2018-9-1 10:23

简单却充满爱！感谢您的作品！

huayou321 · 发表于 2018-6-9 19:20

链接失效了

jnydc1991 · 发表于 2018-5-29 01:19

给力啊，我就想要一个这样子的

xlraln1314 · 发表于 2018-5-4 06:21

给力啊，我就想要一个这样子的

a1030863435 · 发表于 2018-4-19 17:59

1481645902 发表于 2018-3-5 09:12
看区段应该是有壳的，有壳没壳就是一个补丁的差别，只要认真分析，都能解决呢

嗯的，反正代码都是乱乱的，前面学了有点头绪结果玩起来其实还是不会（逆向成一个vmp壳有点激动结果遇到新的不会了）半个月没搞都望得一塌糊涂了

a1030863435 · 发表于 2018-4-19 17:50

1481645902 发表于 2018-3-5 09:12
看区段应该是有壳的，有壳没壳就是一个补丁的差别，只要认真分析，都能解决呢

问一个也许很低级的问题我现在在逆向一个游戏防封软件，查壳显示无壳
而且进入OD智能搜索软件的所有出现的字符都在。
之后F9运行程序，程序运行，然后出现提示框（即出现登入界面之前的一个对话框），OD显示程序已结束，结束代码0
这个是程序本身防逆向还是什么原因？、
然后我在想既然不能下断点什么的（毕竟F9直接退出），那我关键字寻找来改保存吧。
结果去软件里面搞，注册失败出现对话框提示“错误”二字，登入失败也是出现对话框提示“错误”二字，还有大概5个一样的提示错误二字。
那么在搜索之后的确也有这么多个错误字样，而且每个错误下面都有数字
如图：

登录/注册后可看大图

(如果图片小，看下面的--）
然后选择一个错误的相关代码（都差不多一个jnz的判断）

[C] 纯文本查看 复制代码

00408AD7   . /0F85 0F000000 jnz 新版Og-f.00408AEC
00408ADD   . |B8 3CB18F00   mov eax,新版Og-f.008FB13C                  ;  错误
00408AE2   . |E9 B3070000   jmp 新版Og-f.0040929A
00408AE7   . |E9 87070000   jmp 新版Og-f.00409273
00408AEC   > \68 48B18F00   push 新版Og-f.008FB148                     ;  204036（jnz跳转到这，跳转并未实现）
00408AF1   .  8B5D 08       mov ebx,dword ptr ss:[ebp+0x8]
00408AF4   .  FF33          push dword ptr ds:[ebx]
00408AF6   .  E8 B09EFFFF   call 新版Og-f.004029AB
图片：[img]https://www.52hb.com/forum.php?mod=image&aid=101719&size=300x300&key=34076784d3fb0d09&nocache=yes&type=fixnone[/img](看不清看下面吧--）

我想既然要跳过这个错误那么就把jnz改成jmp吧
结果他变成这样：

[C] 纯文本查看 复制代码

[color=#666]00408AD7     /EB 13         jmp short 新版Og-f.00408AEC
00408AD9     |0F0000        sldt word ptr ds:[eax]
00408ADC     |00B8 3CB18F00 add byte ptr ds:[eax+0x8FB13C],bh（第一段OD显示为红色第二三段显示灰色）[/color]
00408AE2   . |E9 B3070000   jmp 新版Og-f.0040929A
00408AE7   . |E9 87070000   jmp 新版Og-f.00409273
00408AEC   > \68 48B18F00   push 新版Og-f.008FB148                     ;  204036（跳转已实现）
图片：
[img]https://www.52hb.com/forum.php?mod=image&aid=101720&size=300x300&key=651ae3bd7d0ff811&nocache=yes&type=fixnone[/img]而且错误这2字也没了

之后登入提示：未定义的错误返回码：204036（其实是204034，我这个是拿了别的错误代码来搞，除了后面的数字其他格式都一样）
现在我就想知道是FZ有防逆向功能还是我找错了位置，需要的话可以发文件

谈笑风生 · 发表于 2018-3-17 00:09

简单却充满爱！感谢您的作品！

fortime · 发表于 2018-3-16 18:39

学习。学习不是很懂

1481645902 · 发表于 2018-3-16 17:33

zhendeaini 发表于 2018-3-12 13:42
我的这个Vmp壳有暗装

在IAT表下内存访问断点，在用到IAT函数的时候就可以看到用到哪些函数，反调试迎刃而解

		自动登录	找回密码
密码			立即注册

[原创逆向视频] VMP脱壳教程-荒野行动某FZ脱壳分析