돌아온 것을 환영합니다.
따라서 이전 비디오에서 이미 압축을 풀고 메모리에서 덤프했습니다.
따라서 이전 주소에 이미 덤프한 파일이 두 개 이상 있을 수 있습니다.
따라서 두 파일이 모두 있는 경우 두 파일 모두 매핑을 해제하거나 저처럼 파일 하나만 있는 경우 이 파일만 매핑을
해제하면 됩니다.
따라서 현재 실행 중이 아닌지 확인하고 확인할 수 있습니다.
또는 여기에서 실행 중인 것을 확인할 수 있습니다.
이거 보여요?
따라서 이것은 트로이 목마가 이미 시작한 새로운 SBC 호스트입니다.
이 프로세스에는 이 코드가 숨겨져 있습니다.
따라서 지금 트로이 목마를 중지하려면 여기에서 중지하거나 마우스 오른쪽 버튼을 클릭한 다음
일시 중지할 수 있습니다.
이 영역, 이 영역을 일시 중단할 수 있습니다.
이 호스트를 더블클릭하면 메모리로 이동합니다.
여기에 있는 메모리 영역을 살펴봅니다.
따라서 이것은 실제로 이 프로세스가 생성될 때 이 프로세스에 삽입된 언팩 코드를 실행하는 것입니다.
따라서 여기 이 코드와 여기 이 코드는 동일해야 합니다.
이제 이걸 안전하게 죽이면 됩니다.
이제 종료 3을 마우스 오른쪽 버튼으로 클릭하고 종료를 클릭하여 숨겨진 트로이 목마 프로세스를 중지한 다음 닫을 수 있습니다.
이제 이 분석을 계속하려면 먼저 이미 방법을 알고 있는 베어 매핑을 해제해야
합니다.
이전 몇 개의 동영상에서 이미 그 방법을 알려드렸습니다.
그러려면 유틸리티에서 가방을 열어 파일로 이동하면 됩니다.
PB.
그런 다음 이 파일을 베어에 끌어다 놓으면 이제 매핑을 해제해야 합니다.
세션 헤더로 이동합니다.
포장 풀기의 마지막 부분에서 주소를 동적으로 즉시 가져오는 것을 보았기 때문에 가져오기가
없다는 것을 알 수 있습니다.
여기에서 세션 헤더를 클릭하세요.
가장 먼저 해야 할 일은 원시 크기를 수정하는 것입니다.
따라서 여기에 있는 각각의 값을 이렇게 변경해야 합니다.
이것은 5000입니다.
이것은 6000입니다.
그런 다음 원시 크기를 계산해야 하므로 이 값에서 각각의 원시 크기를 계산합니다.
따라서 이 경우에는 4000 -1000입니다.
그래서 3000입니다.
이 값은 5000 -4000에서 1000으로 계산됩니다.
그리고 이 값은 6000 -5000입니다.
1000.
따라서 정확한지 확인하세요.
4에서 1을 빼면 3입니다.
5에서 4를 빼면 1, 6에서 5를 빼면 1입니다.
그리고 P 데이터.
원하는 경우 빨간색이 모두 채워질 때까지 채우거나 그대로 두어도 됩니다.
다음으로 가상 크기에서 값을 변경하여 원시 크기와 동일한지 확인합니다.
첫 번째는 3000입니다.
두 번째는 1000, 그다음은 1000입니다.
마지막으로 1F8은 이미 정답입니다.
여기까지입니다.
다음은 기본 주소입니다.
그래서 선택적 헤더를 클릭하면 기본 주소가 이미 올바른 하나 뒤에 0이 7 개로 심하게 손상되었습니다.
알겠습니다.
이제 이 매핑되지 않은 파일을 덤프하고 마우스 오른쪽 버튼으로 클릭하여 실행 파일을 다른 이름으로 저장할 수 있습니다.
그런 다음 이름을 지정할 수 있습니다.
새 접미사 포함.
여기에서 타의 추종을 불허하는 클릭을 확인할 수 있습니다.
이제 새 파일과 맵 파일이 생겼습니다.
이제 이것을 닫은 다음 원한다면 해고할 수 있습니다.
둘 중 하나를 사용하여 분석을 계속할 수 있습니다.
그러니 클릭하세요.
알겠습니다.
사용자를 클릭한 다음 데스크톱으로 이동합니다.
언맵 파일을 선택합니다.
엽니다.
클릭합니다.
알겠습니다.
여기까지입니다.
분석을 계속하기 위해 이 글을 읽어드리겠습니다.
우리의 목표는 달성되었습니다.
이미 이 파일의 매핑을 해제했습니다.
따라서 이 트로이 목마는 실행 시 라이브러리를 동적으로 로드하기 때문에 가져오기가 없다는 점에 유의하세요.
자, 이 영상은 여기까지입니다.
시청해 주셔서 감사합니다.