菜鸟脱壳之脱壳的基础知识（六）——手动查找IAT和修复Dump的程序

前面讲了如何寻找OEP和脱壳，有的时候，Dump出来的时候不能正常运行，是因为还有一个输入表没有进行处理，一些加密壳会在IAT加密上面大做文章，用HOOK - API的外壳地址来代替真是的IAT的地址，让脱壳者无法正确的还原程序的原始IAT，使得程序不能被破解，所以我们处理这些被加密IAT的地址的办法是找到加密这些IAT的地址的跳转（就是Magic Jump），将它修改为强制跳转（JMP），使之无法加密IAT，从而达到脱壳修复的目的！
因为程序的IAT是连续的排列的，所以我们只需要找到IAT的起始位置和末位置，就可以确定IAT的地址和大小！有的IAT是JMP 类型的，有的是CALL类型的，所以，要想确定IAT的地址，就要先知道这个程序是怎样调用IAT的，例如：

其对应的汇编是CALL DWORD PTR DS:[465198]，即直接调用[465198]里的函数，地址465198在IAT中，指向GetVersion函数，我们点击004464F7这句指令，右键，跟随到数据窗口，内存地址！

此时的465198就是IAT的一部分，可以在数据窗口查看到它的内容：

我们右键，长型，地址查看：

这样就可以看到其他的函数的函数名字了：

我们向上面翻，找到数据为0的dword的间隔，IAT最后是以0结尾的：

这个加壳程序的IAT的地址是：00464FFC，那么它的大小为：00465698 - 00464FFC = 69C.
此时就可以利用ImportREC来进行修复了！

输入程序的OEP和刚刚得到RVA和大小，点击获取输入信息，修复转存，抓取DUMP的程序，进行修复，修复完毕后，运行修复后的程序，程序可以正常的运行：

注意点：

1.在ollydbg里面入口处地方，用olldump先将需要dmp的dll或者exe dmp到指定目录

2.用ImportREC附加需要重定位的exe或者内部的dll，fixdmp时候选择刚刚保存的dll。

附下载版文章：
http://www.2cto.com/uploadfile/2012/1205/20121205071819691.zip

转载于:https://www.cnblogs.com/Fightingbirds/p/3172899.html

菜鸟脱壳之脱壳的基础知识（六）——手动查找IAT和修复Dump的程序相关推荐

嵌入式Linux应用开发基础知识(六)——Makefile实例
前面我们学了很多Makefile相关的知识,但是没有写过一个完整的代码,这一章我们写出一个实例一.完善Makefile 在之前我们写了一个较为完善的Makefile程序,但是还是存在一些问题,我们需 ...
计算机基础知识菜鸟教程,菜鸟教程：改造最基础知识电工基础
电,是世界上应用最广泛的能源之一.我们无法想象没有电的现代社会,是什么样子.没有计算机,Internet的数据我们将会无法得到,就更不会有人知道bit-tech之类的网站.实际上,很多的人,无论平常对 ...
计算机科学基础知识(六)理解栈帧
一.前言本文以一个简单的例子来描述ARM linux下的stack frame. 本文也是对tigger网友问题的回复. 二.源代码 #include <stdio.h> static ...
计算机六年级基础知识,六年级计算机试题
六年级计算机试题一.多音字组词. 二.写出下列词语的近义词. 诞生--( ) 信息--( ) 获取--( ) 处理--( ) 传递--( ) 预料--( ) 三.把不能搭 ...
信用社考试计算机知识,信用社考试(计算机基础知识六)
信用社考试,计算机专业很好的复习材料,金融财会专业也可以参考. 计算机基础6 951. 在excel中,最适合反映某个数据在所有数据构成的总和中所占的比例的一种图表类型是____. A.散点图 B.折 ...
6.java中什么是类_类、对象(java基础知识六)
1.Java约定俗成 java约定俗成1,类名接口名一个单词首字母大写,多个单词每个单词首字母都大写2,方法名和变量名一个单词全部小写,多个单词从第二个单词首字母大写建议:如果能用英语尽量用英语 ...
【数据库基础知识六】内连接、外连接、自连接
目录内连接语法外连接外连接的分类自连接内连接语法 SELECT t1.xxx, t2.xxx, .... FROM 表1 t1 JOIN 表2 t2 ON 与表1 的连接条件 [JO ...
matlab基础知识 (六）调用函数
MATLAB® 提供了大量执行计算任务的函数.在其他编程语言中,函数等同于子例程或方法. 要调用函数,例如 max,请将其输入参数括在圆括号中: 例 A = [1 3 5]; max(A) ans = ...
Python基础知识(六)：异常处理
01_异常的本质_调试核心理念在实际工作中,我们遇到的情况不可能是非常完美的.比如:你写的某个模块,用户输入不一定符合你的要求;你的程序要打开某个文件,这个文件可能不存在或者文件格式不对;你要读取数 ...

菜鸟脱壳之脱壳的基础知识（六）——手动查找IAT和修复Dump的程序

菜鸟脱壳之脱壳的基础知识（六）——手动查找IAT和修复Dump的程序相关推荐

最新文章

热门文章