1、(转载)ReloX 重定位表修復 (圖文)2008年 11月 04日 星期二 12:16标 题: ReloX 重定位表修復 (圖文)作 者: djpvd时 间: 2006-10-07 19:54 链 接: http:/ 详细信息: 需準備的工具: Dll LoadEx、LordPE、ReloX 如 load.dll 為加密文件 區段如下將 load.dll 脫殼 Dump 到另一處命名為 unpack.dll (可隨意命名)然後將未脫殼的 load.dll在複製一份 如圖用 Dll LoadEx載入未加殼的文件(這裡指 load.dll與 copy-load.dll)不要關閉 Dll Load
2、Ex然後開啟 LordPE 在上面的窗口點選 Dll LoadEx的圖示在看到下面窗口 看剛剛載入的兩個 load.dll與 copy-load.dll這時候看到的 load.dll 的 ImageBase為 10000000copy -load.dll的 ImageBase為 01C70000然後在 LordPE 上面將 load.dll 選擇 dump full 為 01.dll 將 copy-load.dll dump 為 02.dll不要關閉 LordPE接著開啟 ReloX 將剛剛 Dump的 01.dll與 02.dll分別載入 再右邊的框框填入剛剛在 LordPE 上看到的 Im
3、ageBase然後按下 Selsct sections 選擇要重定位的區段 這裡選第一個區段 (後有說明註)接著按下 Compare 比較 窗口會彈出重定位表 最後按下 Fix PE Module 來修復已脫殼Dump後的文件 unpack.dll 會出現一個新的_unpack.dll 這個就是已修復重定位的文件用 LordPE 打開來看已修復的文件 重定位表的區段為.relocReloX 修復完成後 Dll LoadEx、LordPE 才可關閉註:在脫殼的過程 Dump下來已經知道 第一個區段 裡面為 .text .rdata .data 的合併區段 修復重定位主要就選擇這 3個區段許多加殼的文件會將這三個區段合併為一個區段所以在 Dump後要完美修復必須找出這三個區段手工修復 其實沒修復為一個合併區段的状态也無訪
