关于卡丁车ehsvc模块VM还原效果

社区服务
高级搜索
猴岛论坛跑跑卡丁车关于卡丁车ehsvc模块VM还原效果
发帖 回复
倒序阅读 最近浏览的帖子最近浏览的版块
« 返回列表
16个回复

[经验心得]关于卡丁车ehsvc模块VM还原效果

 楼层直达
小枫工作组

ZxID：17878826

等级: 上尉
举报 只看楼主 使用道具 楼主   发表于: 2014-01-06 0
还原前，ehsvc代区段在wjpdqgns，以Ordinal为1的函数为例：
___:1001D1D0 ; Exported entry   1. 1
___:1001D1D0
___:1001D1D0                 public _1
___:1001D1D0 _1:                                     ; DATA XREF: wjpdqgns:off_10829ED4o
___:1001D1D0                 push    28F65CB2h
___:1001D1D5                 cli
___:1001D1D6                 inc     eax
___:1001D1D7                 and     cl, [ebp+62h]
___:1001D1DA                 pusha
___:1001D1DB                 adc     dl, [ebx-3Eh]
___:1001D1DE                 movsd
___:1001D1DF                 push    es
___:1001D1E0                 push    edx
___:1001D1E1                 movsd
___:1001D1E2                 jb      short loc_1001D1AF
___:1001D1E4                 pusha
___:1001D1E5                 outsd
___:1001D1E6                 push    cs
___:1001D1E7                 pusha
___:1001D1E8                 adc     [esi-17E9E359h], al
___:1001D1EE                 jp      short loc_1001D24E
___:1001D1F0                 jmp     far ptr 8543h:5C204482h
___:1001D1F0 ; ---------------------------------------------------------------------------
___:1001D1F7                 db 50h
___:1001D1F8                 dd 0B9AD5124h, 71742827h, 0E9212DD3h, 1D0CCEAh, 0D1FC46E4h
___:1001D1F8                 dd 5C8768CBh, 35C49344h, 68A708B3h, 0C17FDAD5h, 21D3C424h
___:1001D1F8                 dd 8F4965A9h, 37D24D1Bh, 0FAFF812h, 874825FBh, 0B49F7CEFh
___:1001D1F8                 dd 1E1E90F4h, 0DC1D28F6h, 0EC3205D6h, 6A7ECD07h, 0CB3A3C7Eh
___:1001D1F8                 dd 580DAA78h
___:1001D24C                 db 0, 32h                                                                   //还原前的VMCODE
___:1001D24E ; ---------------------------------------------------------------------------
___:1001D24E
___:1001D24E loc_1001D24E:                           ; CODE XREF: ___:1001D1EEj
___:1001D24E                 pop     ds
___:1001D24F                 xor     edi, [ebp-7B8E54EAh]
___:1001D255                 dec     edi

还原后：
.text:1001D1D0 ; Attributes: bp-based frame
.text:1001D1D0
.text:1001D1D0                 public _1
.text:1001D1D0 _1              proc near
.text:1001D1D0
.text:1001D1D0 tstrFilename    = byte ptr -104h
.text:1001D1D0 arg_0           = dword ptr  8
.text:1001D1D0 arg_4           = dword ptr  0Ch
.text:1001D1D0
.text:1001D1D0                 push    ebp
.text:1001D1D1                 mov     ebp, esp
.text:1001D1D3                 sub     esp, 104h
.text:1001D1D9                 push    104h            ; nSize
.text:1001D1DE                 lea     eax, [ebp+tstrFilename]
.text:1001D1E4                 push    eax             ; lpFilename
.text:1001D1E5                 mov     ecx, hModule
.text:1001D1EB                 push    ecx             ; hModule
.text:1001D1EC                 call    GetModuleFileNameA
.text:1001D1F2                 test    eax, eax
.text:1001D1F4                 jnz     short loc_1001D239
.text:1001D1F6                 call    GetLastError
.text:1001D1FC                 push    eax
.text:1001D1FD                 push    offset aD_3     ; " %d"
.text:1001D202                 sub     esp, 10h
.text:1001D205                 mov     edx, esp
.text:1001D207                 mov     eax, dword_1011CF70
.text:1001D20C                 mov     [edx], eax
.text:1001D20E                 mov     ecx, dword_1011CF74
.text:1001D214                 mov     [edx+4], ecx
.text:1001D217                 mov     eax, dword_1011CF78
.text:1001D21C                 mov     [edx+8], eax
.text:1001D21F                 mov     ecx, dword_1011CF7C
.text:1001D225                 mov     [edx+0Ch], ecx
.text:1001D228                 push    0
.text:1001D22A                 call    sub_10016310
.text:1001D22F                 add     esp, 1Ch
.text:1001D232                 mov     eax, 1
.text:1001D237                 jmp     short loc_1001D252
.text:1001D239 ; ---------------------------------------------------------------------------
.text:1001D239
.text:1001D239 loc_1001D239:                           ; CODE XREF: _1+24j
.text:1001D239                 mov     edx, [ebp+arg_4]
.text:1001D23C                 push    edx             ; int
.text:1001D23D                 lea     eax, [ebp+tstrFilename]
.text:1001D243                 push    eax             ; lptstrFilename
.text:1001D244                 mov     ecx, [ebp+arg_0]
.text:1001D247                 push    ecx             ; int
.text:1001D248                 call    sub_10026E60
.text:1001D24D                 add     esp, 0Ch
.text:1001D250                 xor     eax, eax
.text:1001D252
.text:1001D252 loc_1001D252:                           ; CODE XREF: _1+67j
.text:1001D252                 mov     esp, ebp
.text:1001D254                 pop     ebp
.text:1001D255                 retn    8
.text:1001D255 _1              endp
[ 此帖被小枫工作组在2014-01-06 15:46重新编辑 ]
本帖de评分： 共 1 条评分 ＤＢ +1
ＤＢ+1 2014-01-06

1024
隐藏
打赏 收藏 新鲜事

相关主题

回复 引用
　 鲜花[0]　 鸡蛋[0]
宇智波占

ZxID：21018123

等级: 少校
勇往直前，说到做到，这就是我的忍道！！！

举报 只看该作者 沙发   发表于: 2014-01-06 0
前排出售妹纸
引用
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
轻妙

ZxID：22895448

等级: 上将
举报 只看该作者 板凳   发表于: 2014-01-06 0
很厉害的样子
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
赚小客　

ZxID：28605045

等级: 贵宾
配偶: 温存y1咝暧沬
举报 只看该作者 地板   发表于: 2014-01-06 0
看不懂
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
ヾ　　索爱。

ZxID：21463918

等级: 元老
配偶: 称帝@
举报 只看该作者 4楼  发表于: 2014-01-06 0
你说的能有几个人懂.
想要萌mei纸么.  速速点我吧....
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
奢華

ZxID：24230132

等级: 少将
举报 只看该作者 5楼  发表于: 2014-01-06 0
vm还原是虚拟机吗？
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
lfdsa

ZxID：18371552

等级: 元帅
[img]http://goo.gl/5x4nz[/img]

举报 只看该作者 6楼  发表于: 2014-01-06 0
说的真好
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
冫暮光丶倾城

ZxID：27646063

等级: 少校
车手007丶
举报 只看该作者 7楼  发表于: 2014-01-06 0
好！
字母全认识

际遇之神

 奖励

冫暮光丶倾城在学习遇见猴友，获赠2ＤＢ
苍生笑
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
一個顛倒的世界

ZxID：21258447

等级: 大将
举报 只看该作者 8楼  发表于: 2014-01-06 0
同上，我字母差不多也都熟了
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
丶冫氵丨

ZxID：25723582

等级: 大元帅
举报 只看该作者 9楼  发表于: 2014-01-06 0
放在一起就不认识了
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
q3862480q

ZxID：24639082

等级: 大校
举报 只看该作者 10楼  发表于: 2014-01-06 0
什么意思？
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
小枫工作组

ZxID：17878826

等级: 上尉
举报 只看该作者 11楼  发表于: 2014-01-06 0
还有API没有Fixed，分析足够用了，等晚上有空就放出KartRider无壳无花以及完全90%还原加密的主程序KartRider.exe
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
韩服跑跑卡丁车

ZxID：13155826

等级: 上将
配偶: 一个小女子
猴岛：丶逝去的那些年韩服跑跑：Machino    服务器：韩服代理

举报 只看该作者 12楼  发表于: 2014-01-06 0
回 11楼(小枫工作组) 的帖子
卧槽，够牛逼的说！
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
小枫工作组

ZxID：17878826

等级: 上尉
举报 只看该作者 13楼  发表于: 2014-01-06 0
LeXian_Sdk.xxx
乐线Sdk(天成)，依旧不懂为什么release版本还有那么多的OutputDebugString，原本是基于网页登陆的，这些接口在主程序export table中，由网页端的ActiveX调用，现在没有了依旧还是做导出。。
还组成了字串表，坑爹的游戏。
目的是为了Error Report时用的吧，官网好多错误反馈都带上了函数名和调用堆栈，TC太不自信了。（不可重现的错误）
[ 此帖被小枫工作组在2014-01-06 17:03重新编辑 ]
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
碎゛流年ゞ

ZxID：19529117

等级: 上将
青春如风般ジ消逝在╰ゝ流年里。。。~~
举报 只看该作者 14楼  发表于: 2014-01-06 0
字母全认识
青春如风般ジ消逝在╰ゝ流年里。。。~~
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
基霸查比哩

ZxID：38115235

等级: 少将
┃Gay丶牛郎o ━━━✿✿━━━ Gay丶牛郎c┃
举报 只看该作者 15楼  发表于: 2014-01-06 0
这是什么·？
PS.﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎﹎
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
伪坚强　

ZxID：32465799

等级: 元老
举报 只看该作者 16楼  发表于: 2014-01-06 0
什么东东！
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
« 返回列表
发帖 回复