脱中国游戏中心大厅程序的壳
Asprtect已經出到1.1了,怎麼還在1.0打轉,我只講重建ImportTable的部份,跟蹤技巧省略,自己看教程慢慢摸索,才能進步。這個軟件有兩個程式被Asprotect加殼,一個是iGame.exe, 一個是GameDev.dll,我們以iGame.exe為例,dll的脫殼方法基本一樣,只是要點小技巧, 用Procdump32去分析iGame.exe你會發現沒有.idata section只有.rdata section,Asprotect針對只有.rdata section會有另外一種編碼方式,我們不需重建Import Table,只要
Modify Image_Thunk_Data的矩陣結構即可。
那要如何Modify它呢？當然還是有力的工具Imp_list,這次我們用Imp_list
V1.09,可在老俄那邊下載, 記下.rdata section的資訊VO=4C000,Vs=11000
[脫 殼]:
(1)用BW2K,得知OEP=004224D6
(2)執行Imp_list,會分別得出,Address.txt,Import0.bin, Import1.
bin, Import2.bin
(3)在無Soft-ICE下,按Ctrl-N叫出Trw2K, 下faults off,再下CreatefileA do "d *(esp+4)",執行iGame.exe,攔住後,按F12/F10,直到返
回主程式,下BD *,G 004224D6,下Suspend用Procdump32(dump(full)),存成
iGdump.exe,改EP=000224D6
(4)用Hex Workshop打開Import1.bin,從偏移1000處開始選方塊728
將其貼至iGdump.exe的,rdata section的Raw Offset處, 即
004B600.
這樣即可脫穎成功.
C-Pen 2000\10\08
