Exeinfo PE在虚拟机中的运行问题

搬砖王

技术分享 2月前 1 浏览

Exeinfo PE在虚拟机中的运行问题

前言
　　多年来已经习惯了虚拟机（此虚拟机非VMP的虚拟机）的环境，安全、清爽且灵活。不用装360，也从不用QQ，他们那些愚蠢的行为，就好比俄国人和日本人为了自己的利益在我们的土地上干仗，让人无法接受。
　　Exeinfo PE在虚拟机中运行时，没有任何提示信息就退出了。虽有PEiD和Protection ID等可用，但始终困扰着，直到有一天，决定一探究竟，看看是什么个情况。
　　站在别人的肩膀上总是好的。当时人肉的结果就是下面参考资料中的1)和2)。
　　得知Exeinfo PE的大致信息：用Borland Delphi写的，加壳时区段被合并了，UPX壳。UPX解开后，当然无法运行，自查一下去壳后的文件：A.S.L Packer/Crypter/Protector ( Generic signature )，hint: no idea :-)。应该是作者自己整的。
　　写这篇文章是因为最近在学习VMProtect的知识，为方便下载资料和教程，刚注册，发出来指望骗点分分:)。
　　高手们的文章总是点到为止，新人呐就希望过程越详细越好。这里把以前的记录摘要点贴出来，有的东西就不细说了，恐误导于人；谬误之处，恳请指正。
『目标软件』
　　Exeinfo PE v0.0.3.0 617 sign 2011.07.29
　　http://www.exeinfo.xwp.pl
　　http://users.cjb.net/exeinfope/exeinfope.zip
『调试器』
　　OD - 原版OllyDbg 1.10
『调试器插件』
　　StrongOD 0.4.6.816 by 海风月影
　　OllyDump 3.00.110 by Gigapede
『其他工具』
　　UIF - Universal Import Fixer v1.2
　　ImpREC - Import REConstructor v1.7F
　　RB - Resource Binder v3.1.5
『参考资料』
　　1) ExeInfo PE ver. 0.0.2.4 正式版脱壳+资源优化+去自校验(http://www.unpack.cn/thread-39082-1-1.html) by cxx17
　　2) 脱壳版 ExeinfoPE v0.0.2.3 508 sign 2009.05.20(http://bbs.pediy.com/showthread.php?t=89380) by RegKiller
　　3) Exeinfo PE v0.0.3.0 617 sign 2011.07.29 UnPacKeD & CrAcKeD by RegKiller(http://bbs.pediy.com/showthread.php?t=140687)
　　4) Exeinfo PE v0.0.2.9 598 sign 2011.02.26 UnPacKeD & CrAcKeD by RegKiller(http://www.unpack.cn/thread-69720-1-1.html)
一．寻找OEP
　　虚拟机的操作系统是Windows XP Professional SP3简体中文版。OD插件一个是StrongOD，这个版本会自动Patch原版OD，让调试过程省去很多麻烦；用OllyDump图个方便。
　　OD的设置：

　　StrongOD的设置：

　　1. OD载入目标程序后停在这里：