Методы починки переадресовочных элементов IAT: ручной метод, использование плагинов IMP REC'а, связка JMP-CALL (волшебный переход).

Распаковка протектора yod'ы Protector 1.3.

Глава посвящена понятию "украденных байт" и методам их восстановления.

После того, как мы продолжили разбираться с таблицой IAT pelock’а, а также антидамповыми приёмами, в этой части будет рассмотрено две темы: одна, которая была пропущена ранее, и другая, которая очень поможет в работе с tpelock’ом или другой похожей программой, которая снимает или обнаруживает установленные HBP.

Теперь мы перейдём к более сложным упаковщикам и увидим, что используемые методы могут быть очень разными в зависимости от случая, поэтому у нас должен быть большой запас различных трюков. В этот раз нас будет занимать ACPROTECT 1.09, распакуй-меня со всякого рода защитами.

К моему удивлению, на эту тему я не нашел какого либо завершенного материала (даже на wasm'овском форуме !). Это и послужило поводом для написательства данной статьи. На первый взгляд, все кажется сложным, но на самом деле все просто.

Окошко с мессажбоксом - это своего рода Hello World апишного вынь32 - программирования. Программа - она как лишение невинности в первый раз! Объяснено и на хлеб намазано: что такое апишные функции и их прототипы, зачем нужны инклуды и что в них можно отыскать, как работать с апи, и, наконец, в какую часть тела нужно ткнуть масм, чтобы он откомпилил работоспособное приложение, воплощающее в жизнь все вышесказанное.

В предыдущей части мы сосредоточились на починке украденных байт, а сейчас нашей задачей является IAT.