我要评论
在图示的nop处下断点,然后运行程序.看registers window,如果当程序停止时,eax=1那意味着son已经从father处脱钩了,我们可以关闭olly.如果eax=0 那么你要检查那几行代码,因为你可能犯了写错误(也许是写错了handle).
现在关闭ollydbg,然后再次打开他.不要载入任何东西.前往"文件/附加"然后找son,附加它(我们搞定它的father了:x).
一旦附加成功,程序将在infinite loop中 running ,需要按f12 to pause the去暂停程序,但是等一下,在做这个之前,我们先得把 eb fe改回原始值(那些我叫你记下的值,你有记下吗?) 55 8b,然后我们将停在oep,已经准备好dump了.
我们已经准备好dump了,所以打开lord pe然后找getright.exe
选择getright.exe进程然后选择intellidump然后点击dump full, 保存后启动peeditor (从www.google.com上搜索它)然后写入正确的entry point值.
在这儿不要填写538540,而写入文件偏移,就像这样: 538540-400000 = 138540.
那就是full dump.在本参考教程的第二部分我们会学习怎样去找magic jump从而完成import table, 修复iat,使程序运行,因为它设下了一些陷阱来避免被unpack.
现在我们保存转储(dump)文件(我把它命名为tute.exe),和原始的一样,只是iat不同.
第二部分再见.
ricardo narvaja
翻译(西班牙语翻译为英语)degete和tenshin,(英语翻译为中文)ftbirthday.自由传播,但是请保留作者的姓名.
发表评论