@himitsu
Wow, der Code fürs vorwärts entschlüsseln ist ja nochmal deutlich kürzer!
Zum Rückwärtscode:
Kann man das denn überhaupt so schreiben???
Code:
MOV ecx, [eax-1] //Byte Davor speichern
XOR [eax], ecx //Mit ECX entschlüsseln
[eax-1] Sieht irgendwie so "Delphisch" aus. Ich hab gedacht jede Arithmetik Operation muss man extra angeben (w.z.B.
DEC oder INC)
@Aphton:
1. Ja ich verwende die relative Andressen. Also immer ImgBase + VAddr für den Start, und ImgBase + VAddr + VSize fürs Ende.
Also exakt wie im Tutorial beschrieben.
2. Zum Cave. Ja ... der wird mit 100% Sicherheit hinter das letzte beschriebene SectionByte gesetzt. Also wirklich da wo vie V.Size endet.
Das ganze habe ich mehrmals im Hex-Editor überprüft.
Um zu überprüfen das es am
ASM Code liegen muss, habe ich das Ganze (also En/Decrypter) in die
Unit aus dem Tutorial verfrachtet.
Mit selben Ergebnis: Exe Kaput bei meinem
ASM Code. Exe heil bei mr_emre_d's Original
ASM Code.
Ist denn der
ASM Code wie ich ihn gepostet habe von der Logic u. Syntaktik korrekt?
Da der hier angebotene
ASM Crashkurs nicht allzuumfangreich ist habe ich mir vieles einfach zusammen gereimt.
War ich denn richtig der Annahme das "
[eax
]" auf den Inhalt der Adresse die in eax selbst gespeichet ist zugreift?
Was mir Wahrscheinlich extrem helfen würde wäre den decrypting Prozess in der "Ziel-Exe" direkt im
Ram verfolgen zu können.
Wie kann ich das bewerkstelligen? Kann ich für sowas den Delphi Debugger nehmen oder lieber einen externen wie OllyDBG?
Schonmal vielen lieben Dank für die Hilfe!