这个软件NAG和自效验怎么除去呢

heizihui

脱壳后出现下面这个图


NAG： BP MessageBoxA,搞了后，没有了提示，我是NOP掉的~（不好意思我不知道JMP怎么跳）

可是无法运行，连一闪都 没有。这个是自效验吧？

BP CreateFileA

晕哦~弄出来的是.dll的~

程序传上来了，大伙帮看看~要怎么操作~，谢谢~

[ 本帖最后由 heizihui 于 2007-12-6 11:18 编辑 ]

heizihui

有大小限制哦！

foxjinlin

程序带了自校验？

提示翻译为“该程序已被病毒篡改!!!”

[ 本帖最后由 foxjinlin 于 2007-12-10 23:58 编辑 ]

hdy981

bp CreateFileA
然后F9运行第一次，看到堆栈里面文件是系统下的rsaenh.dll（是微软Microsoft增强加密服务相关文件，用于128位加密），故而再F9运行一次，看到如下：
0012B1A0   00520C10  /CALL 到 CreateFileA 来自 dump.00520C0A
0012B1A4   003F73A0  |FileName = "D:\Documents and Settings\hdy\",D7,"烂鎈Aws\dump.exe"
0012B1A8   80000000  |Access = GENERIC_READ
0012B1AC   00000003  |ShareMode = FILE_SHARE_READ|FILE_SHARE_WRITE
0012B1B0   0012B1CC  |pSecurity = 0012B1CC
0012B1B4   00000003  |Mode = OPEN_EXISTING
0012B1B8   00000080  |Attributes = NORMAL

好了，ctrl＋G输入“520C0A”enter

00520BF8     |> \6A 00         push    0                                ; /hTemplateFile = NULL
00520BFA     |.  51            push    ecx                              ; |Attributes
00520BFB     |.  50            push    eax                              ; |Mode
00520BFC     |.  8D85 ECFEFFFF lea     eax, dword ptr [ebp-114]         ; |
00520C02     |.  50            push    eax                              ; |pSecurity
00520C03     |.  52            push    edx                              ; |ShareMode
00520C04     |.  FF75 0C       push    dword ptr [ebp+C]                ; |Access
00520C07     |.  FF75 08       push    dword ptr [ebp+8]                ; |FileName
00520C0A     |.  FF15 08545300 call    near dword ptr [<&kernel32.Creat>; \CreateFileA
00520C10     |.  83F8 FF       cmp     eax, -1      （到这里）
然后向上找到这一行：
00520B00        /0F8D 33010000 jge     00520C39
（将jge改为jmp）
不知道对不对，请各位斧正！附图如下：


[ 本帖最后由 hdy981 于 2007-12-12 00:01 编辑 ]

pizigao

建议看看PYG论坛3周年庆典 第 三 课:去除NAG窗口第 四 课:手脱压缩壳--脱UPX壳

heizihui

5楼的坛友~

教程我看了~

我在帖子里也说了。我用NOP掉去了那 提示框~
后面运行不了~这个应该跟自效验有关吧？

4楼的，谢谢你了哦！

我再看看……

heizihui

4楼 朋友

ctrl＋G输入“520C0A”

这里我原先也到过

只是不知道，那个是要改的~~
太多JE，JMP之类的了

你修改的那地方，不对~因为软件没正常运行~

[ 本帖最后由 heizihui 于 2007-12-12 10:03 编辑 ]

rayicy

NTBOX的东西，没有那么简单，数据关联性，即使你修改跳转，也用不了的