Прогрмма пакованая протектором PECompact (о чём твердят PE-Snifer 4.0 и PEiD),собственно унпаком того же происхождения я его и накрыл, кроме того с приложением ничего не делал... Открываю я значит его в IDA и и начинаю дебажыть в поисках указателя на dll которую прога инжектит в основной процесс...ищю ищю....и нахожу указатель который якобы не существует...идёт значит секция импорта .idata до адреса 00408100 и после этого секция рессурсов только с адреса 0040A000 тоесть идёт разрыв...и как вы думаете како вид имеет наш указатель, а вот такой 00408148 тоесть секция данных просто пропалаи ещё добавилась секция со странным названием и непонятным содержанием вот собственно имя секции _0000071D а вот её кусок dword_40A000 dd 0 ; DATA XREF: __cinit+45o _0000071D:0040A004 dd offset ___security_init_cookie _0000071D:0040A008 dword_40A008 dd 0 ; DATA XREF: __cinit+4Co _0000071D:0040A00C dword_40A00C dd 0 ; DATA XREF: __cinit+12o _0000071D:0040A010 dd offset ___initstdio _0000071D:0040A014 dd offset ___onexitinit _0000071D:0040A018 dd offset ___initmbctable _0000071D:0040A01C dword_40A01C dd 0 ; DATA XREF: __cinit+17o _0000071D:0040A020 dword_40A020 dd 0 ; DATA XREF: _doexit:loc_4030B6o _0000071D:0040A024 dd offset ___endstdio _0000071D:0040A028 dword_40A028 dd 0 ; DATA XREF: _doexit+6Co _0000071D:0040A02C dword_40A02C dd 0 ; DATA XREF: _doexit:loc_4030D5o _0000071D:0040A030 dword_40A030 dd 4 dup(0) ; DATA XREF: _doexit+8Bo _0000071D:0040A040 dword_40A040 dd 28957FA0h, 3709D0E5h, 12A1CCA3h, 0DA853DD5h _0000071D:0040A040 ; DATA XREF: WinMain(x,x,x,x)+253o _0000071D:0040A050 dd 80h, 0Fh dup(0) ; DATA XREF: sub_402020+2Eo _0000071D:0040A090 off_40A090 dd offset __exit ; DATA XREF: __amsg_exit+1Cr _0000071D:0040A094 dword_40A094 dd 2 ; DATA XREF: __NMSG_WRITE+58r _0000071D:0040A094 ; __FF_MSGBANNER+Er ... _0000071D:0040A098 align 10h _0000071D:0040A0A0 dword_40A0A0 dd 408514h ; DATA XREF: __output:loc_40375Er _0000071D:0040A0A0 ; __output+51Cr _0000071D:0040A0A4 dword_40A0A4 dd 408504h ; DATA XREF: __output+2D8r _0000071D:0040A0A8 align 10h _0000071D:0040A0B0 dword_40A0B0 dd 2 ; DATA XREF: __NMSG_WRITE:loc_403C54r _0000071D:0040A0B0 ; __NMSG_WRITE+3Ar _0000071D:0040A0B4 dword_40A0B4 dd 408898h ; DATA XREF: __NMSG_WRITE+D5r _0000071D:0040A0B4 ; __NMSG_WRITE+112r ... _0000071D:0040A0B8 dd 8, 40886Ch, 9, 408840h, 0Ah, 4087A8h, 10h, 40877Ch _0000071D:0040A0B8 dd 11h, 40874Ch, 12h, 408728h, 13h, 4086FCh, 18h, 4086C4h _0000071D:0040A0B8 dd 19h, 40869Ch, 1Ah, 408664h, 1Bh, 40862Ch, 1Ch, 408604h _0000071D:0040A0B8 dd 1Dh, 408560h, 78h, 408550h, 79h, 408540h, 7Ah, 408530h _0000071D:0040A0B8 dd 0FCh, 40852Ch, 0FFh, 40851Ch _0000071D:0040A148 dword_40A148 dd 0C0000005h, 0Bh, 0 ; DATA XREF: __XcptFilter+Co _0000071D:0040A154 dd 0C000001Dh, 4, 0 _0000071D:0040A160 dd 0C0000096h, 4, 0 _0000071D:0040A16C db 8Dh, 0 _0000071D:0040A16E dw 0C000h _0000071D:0040A170 dd 8, 0 _0000071D:0040A178 dd 0C000008Eh, 8, 0 _0000071D:0040A184 dd 0C000008Fh, 8, 0 _0000071D:0040A190 db 90h _0000071D:0040A191 db 2 dup(0), 0C0h _0000071D:0040A194 dd 8, 0 _0000071D:0040A19C dd 0C0000091h, 8, 0 _0000071D:0040A1A8 dd 0C0000092h, 8, 0 _0000071D:0040A1B4 dd 0C0000093h, 8, 0 _0000071D:0040A1C0 dword_40A1C0 dd 3 ; DATA XREF: __XcptFilter+84r _0000071D:0040A1C4 dword_40A1C4 dd 7 ; DATA XREF: __XcptFilter+89r _0000071D:0040A1C8 dword_40A1C8 dd 0Ah ; DATA XREF: __XcptFilter+6r _0000071D:0040A1CC dword_40A1CC dd 8Ch ; DATA XREF: __XcptFilter+B2r _0000071D:0040A1CC ; __XcptFilter+BAw ... _0000071D:0040A1D0 dword_40A1D0 dd 0FFFFFFFFh, 0A80h, 10h, 0 _0000071D:0040A1D0 ; DATA XREF: __filbuf:loc_4028BEo _0000071D:0040A1D0 ; __flsbuf:loc_40327Fo _0000071D:0040A1E0 dword_40A1E0 dd 1 ; DATA XREF: __dosmaperr:loc_40530Br _0000071D:0040A1E4 dword_40A1E4 dd 16h ; DATA XREF: __dosmaperr:loc_40532Fr _0000071D:0040A1E8 dd 2 dup(2), 3, 2, 4, 18h, 5, 0Dh, 6, 9, 7, 0Ch, 8, 0Ch _0000071D:0040A1E8 dd 9, 0Ch, 0Ah, 7, 0Bh, 8, 0Ch, 16h, 0Dh, 16h, 0Fh, 2 _0000071D:0040A1E8 dd 10h, 0Dh, 11h, 2 dup(12h), 2, 21h, 0Dh, 35h, 2, 41h _0000071D:0040A1E8 dd 0Dh, 43h, 2, 50h, 11h, 52h, 0Dh, 53h, 0Dh, 57h, 16h _0000071D:0040A1E8 dd 59h, 0Bh, 6Ch, 0Dh, 6Dh, 20h, 70h, 1Ch, 72h, 9, 6, 16h _0000071D:0040A1E8 dd 80h, 0Ah, 81h, 0Ah, 82h, 9, 83h, 16h, 84h, 0Dh, 91h _0000071D:0040A1E8 dd 29h, 9Eh, 0Dh, 0A1h, 2, 0A4h, 0Bh, 0A7h, 0Dh, 0B7h _0000071D:0040A1E8 dd 11h, 0CEh, 2, 0D7h, 0Bh, 718h, 0Ch _0000071D:0040A348 off_40A348 dd offset dword_40AFA0 ; DATA XREF: ___initstdio+52o _0000071D:0040A34C align 10h _0000071D:0040A350 dd offset dword_40AFA0 _0000071D:0040A354 dd 101h _0000071D:0040A358 dword_40A358 dd 2 dup(0) ; DATA XREF: ___initstdio+71o _0000071D:0040A360 dd 1000h, 0 _0000071D:0040A368 dword_40A368 dd 3 dup(0) ; DATA XREF: __flsbuf+53o _0000071D:0040A374 dd 2, 1, 3 dup(0) _0000071D:0040A388 dword_40A388 dd 3 dup(0) ; DATA XREF: __flsbuf+5Bo _0000071D:0040A394 dd 2 dup(2), 7 dup(0) _0000071D:0040A3B8 dword_40A3B8 dd 84h dup(0) ; DATA XREF: ___initstdio+9Ao _0000071D:0040A5C8 dword_40A5C8 dd 2 dup(0) ; DATA XREF: ___initstdio+67o _0000071D:0040A5D0 off_40A5D0 dd offset __fptrap ; DATA XREF: __output+476r _0000071D:0040A5D4 off_40A5D4 dd offset __fptrap ; DATA XREF: __output+4A2r _0000071D:0040A5D8 dd offset __fptrap _0000071D:0040A5DC off_40A5DC dd offset __fptrap ; DATA XREF: __output+491r _0000071D:0040A5E0 dd offset __fptrap _0000071D:0040A5E4 dd offset __fptrap _0000071D:0040A5E8 dword_40A5E8 dd 408A48h ; DATA XREF: __output:loc_403582r _0000071D:0040A5E8 ; _x_ismbbtype+18r ... _0000071D:0040A5EC dd 408C4Ah _0000071D:0040A5F0 dword_40A5F0 dd 0BB40E64Eh ; D похоже на кусок секции .data вобщем помогите мне с этим разобраться
devillsd сделай дамп работающей проги и работай с дампом РЕ-протект полностью перестраивает бинарный файл, включая РЕ-хидер и секции
