Aide unpacker DLL packer avec Mpress 2.19

[alr]

Salut à tous,
j'ai du mal a unpacker une DLL packer avec mpress 2.19 jai suivi des tuto avec des exe comme exemple son probleme fonctionne normalement mémé tail , mais avec ma DLL ça ne marche pas ,déjà la tail de ma DLL non packer fait 38.865 Ko packer fait 6.411Ko unpacker fait 39.499Ko,car c'est une DLL que ça ne marche pas ou quoi

[etherlord]

Le fait que cela soit une DLL ne devrait pas poser de problèmes, par contre il faut s'assurer que les tutos que tu suive correspondent exactement à la version que tu as si tu veut répliquer la même méthode.

Si la version est différentes, probable qu'il y ait quelques petits changement.

Après une DLL c'est fichier PE, donc il faut également s'assurer d'avoir le bon CRC, etc...

etherlord

[alr]

salut etherlord

Le fait que cela soit une DLL ne devrait pas poser de problèmes, par contre il faut s'assurer que les tutos que tu suive correspondent exactement à la version que tu as si tu veut répliquer la même méthode.
Si la version est différentes, probable qu'il y ait quelques petits changement.

pour la version c'est la mémé 2.19

donc il faut également s'assurer d'avoir le bon CRC, etc...

comment vérifier ça je débute

Merçi

[etherlord]

Alors si tu débute il faut déjà se renseigner sur le format PE :

https://msdn.microsoft.com/en-us/library/ms809762.aspx

Pour un CRC, beaucoup de logiciels traitant du PE permette de corriger une mauvaise valeur. (LordPE, PE.Explorer, PE. corrector...)

Cela permet aussi de valider les autres paramètres d'un en-tête PE.

etherlord

[alr]

ya t'il des tuto sur ça

[etherlord]

Il y a des tutos qui utilisent ces outils oui, après faut rechercher en fonction de celui que tu utilise.

Iczelion reste une bonne intro entre autre au format PE

http://win32assembly.programminghorizon ... -tut1.html

etherlord

[alr]

OK MERCI etherlord

[alr]

fig 1
F9 puis F8
fig2
fig3
fig4
fig5
fig6

dans le tuto que jai suivi je dois tomber sur un 55 PUSH EBP pour OEP mais moi je tembe sur ça (fig6) MOV EDI,EDI (1) et non PUSH EBP (2) ou es que je me trempe

[etherlord]

Cela ressemble plutôt au début d'une fonction :

Why do Windows functions all begin with a pointless MOV EDI, EDI instruction?
hxxps://blogs.msdn.microsoft.com/oldnew ... 00/?p=9583

Si à ce stade là tu demande à Olly d'aller à l'OEP, c'est là qu'il te place ?

etherlord

[alr]

mais la jai un problème avec le dump jai besoin help

[etherlord]

Et c'est quoi le problème ?

etherlord

[alr]

Et c'est quoi le problème ?

il est la



oep entree puis IAT autosearch ---> get imports --> show invalide rien ----> show suspect la y'a problème sue l'image y'a aussi d'autre je fais dump puis Fix dump perebuld la taille de la dll unpacker est plus grande que l'original

quelle est l'erreur