php模拟网站登陆(post/get提交) »

« PHP中常用的数组函数

 用OD加载程序，OD调试设置为“Break on new module(DLL)”，至到mscorlib.dll加载时，记下以下两个值：

00400168    08200000    DD 00002008          ;  COM+ Runtime Header address = 2008

0040016C    48000000    DD 00000048          ;  Import Address Table size = 48 (72.)

然后dump出程序，这时候的程序已经可以载入Reflector进行分析了，但是还不能直接运行，需要修复。

用CFF Explorer打开dump出的程序，用上面的两个值修复.NET MetaData Directory RVA、.NET MetaData Directory Size；

接下来删除不需要的区段（保留最前面的两个区段即可），末尾新添加一个区段（大小为0C），将重定位表地址指向该区段，重定位表大小为0C；

修复sizeOfImage，按节对齐修复各区段RawSize，修正各区段属性（可参考任一未加壳的.net程序）；

最后修正pe的入口地址，可搜索“CorExeMain”关键字，后面会有一串FF25XXXXXXXX，这个串的地址转为RVA即为程序的入口地址。

至此，脱壳完成！