重定位表修復(fù)

（轉(zhuǎn)載）ReloX重定位表修復(fù)（圖文）2008年11月04日星期二12:16標(biāo)題:ReloX重定位表修復(fù)（圖文）作者:djpvd時(shí)間:2006-10-0719:54鏈接：/showthread.php?threadid=32993詳細(xì)信息：需準(zhǔn)備的工具:DllLoadEx、LordPE、ReloX如load.dll為加密文件區(qū)段如下將load.dll脫殼Dump到另一處命名為unpack.dll（可隨意命名）然後將未脫殼的load.dll在複製一份如圖網(wǎng)址（9S*D:\口口口未脫殼文件^0502capy-laad.dll lead.dll用DllLoadEx載入未加殼的文件（這裡指load.dll與copy-load.dll）不要關(guān)閉DllLoadEx然後開(kāi)啟LordPE在上面的窗口點(diǎn)選DllLoadEx的圖示在看到下面窗口看剛剛載入的兩個(gè)load.dll與copy-load.dllLordPEDeluxeb]byyodaPathDLLFIDc:\wiridowsXs5J￡tem32\riot&pad.ewe00000954rin門(mén)nnc口nImageBase01000000oimzmiImageSize00013000nnm2000BreeApragramfiles\crack\dlllaadeAdlllaadeK.exeOCOWBB400400000e:\programrues\cracKMorapejorape.eweUUUJLJR4LUU4UULIUUPa*d:\load.dllwoaoooaPathDLLFIDc:\wiridowsXs5J￡tem32\riot&pad.ewe00000954rin門(mén)nnc口nImageBase01000000oimzmiImageSize00013000nnm2000BreeApragramfiles\crack\dlllaadeAdlllaadeK.exeOCOWBB400400000e:\programrues\cracKMorapejorape.eweUUUJLJR4LUU4UULIUUPa*d:\load.dllwoaoooa009919A700006000LILILUtiLILILIDurc:\windows\s^stem32\ws2help.dllc:\windows\s5J$tem32\winmnn.dllc:\windows\s5Jsterri32\nns：vcp60.dII71AOOOOO76B1000075FFOOOO00008000OD02AOOO00065000/56hl口du.leelisteil/28processes1isted/Clickdietoedit-!J￡￡這時(shí)候看到的load.dll的ImageBase為10000000copy-load.dll的ImageBase為01C70000然後在LordPE上面將load.dll選擇dumpfull為01.dll將copy-load.dlldump為02.dll

不要關(guān)閉LordPE接著開(kāi)啟ReloX將剛剛Dump的01.dll與02.dll分別載入再右邊的框框填入剛剛在LordPE上看到的ImageBase

然後按下Selsctsections選擇要重定位的區(qū)段這裡選第一個(gè)區(qū)段（後有說(shuō)明--＞註）

接著按下Compare比較窗口會(huì)彈出重定位表最後按下FixPEModule來(lái)修復(fù)已脫殼Dump後的文件unpack.dll會(huì)出現(xiàn)一個(gè)新的_unpack.dll這個(gè)就是已修復(fù)重定位的文件

用LordPE打開(kāi)來(lái)看已修復(fù)的文件重定位表的區(qū)段為.relocReloX修復(fù)完成後DllLoadEx、LordPE才可關(guān)閉註:在脫殼的過(guò)程Dump下來(lái)已經(jīng)知道第一個(gè)區(qū)段裡面為.text.rdata.data