Import REConstructor
Import REConstructor安裝教程
Import REConstructor可以從雜亂的IAT中重建一個新的Import表(例如加殼軟件等),它可以重建Import表的描述符、IAT和所有的ASCII函數(shù)名。
用它配合手動脫殼,可以脫UPX、CDilla1、PECompact、PKLite32、Shrinker、ASPack, ASProtect等殼。
使用方法
1.目標(biāo)文件已完全被Dump,另存為一個文件
2.目標(biāo)文件必須正在運(yùn)行中
3.事先找到目標(biāo)程序真正的入口(OEP)或IAT的偏移與大小
以加殼RebPE.exe為例,首先OD加載:
調(diào)試到00413001,設(shè)置硬件斷點(diǎn)hr esp
F9斷下來,單步調(diào)到OEP處:
這時啟用LoadPE工具,找到對應(yīng)的進(jìn)程,右鍵先執(zhí)行"correct ImageSize”,再執(zhí)行"dump full",保存為dumped.exe
運(yùn)行ImportREC,選擇RebPE.exe進(jìn)程:
在右下角OEP處埴上正確的OEP的RVA值,這里填1130,默認(rèn)時,ImportREC重建輸入表時會同時用此值修正入口點(diǎn),同時提供正確的OEP有助于分析IAT的準(zhǔn)確位置,單擊"IAT AutoSearch"按鈕,讓其自動檢測IAT偏移和大小,如果出現(xiàn):
表示輸入的OEP發(fā)揮了作用,如果沒有,則要手動填入IAT的RVA和大小,
單擊"Get Imports"按鈕,讓其分析IAT結(jié)構(gòu)得到基本信息,如下:
本例中所有API都被正確識別了,顯示valid:YES,如果不能識別,就會顯示成valid:NO,單擊"Show Invalid"按鈕分析所有的無效信息,
在Imported Functions Found這一窗口中單擊右鍵,選擇Thrace Level1(Disasm),再單擊"Show Invalid
最后一步,把前面提出的IAT部分都加上Dump.exe,選擇"Add new section",單擊Fix Dump,選擇剛抓取的Dump.exe,此時會生成一個叫Dump_exe的文件,而輸入表會放在新增的.mackt區(qū)塊上,此時IAT修復(fù)完成
下載地址
-
- 通用安全下載
-
- 移動安全下載
-
- 聯(lián)通安全下載
-
- 電信安全下載
-
- 移動網(wǎng)絡(luò)下載
-
- 聯(lián)通網(wǎng)絡(luò)下載
-
- 電信網(wǎng)絡(luò)下載
-
- 通用網(wǎng)絡(luò)下載