importrec是款功能强大、操作简单的输入表重建工具,同时也是款手动脱壳软件,它可以从杂乱的IAT中重建一个新的Import表,用它配合手动脱壳,可以脱UPX、CDilla1、PECompact、PKLite32、Shrinker、ASPack、ASProtect等壳。
在运行Import REConstructor之前,必须满足条件:
1.目标文件己完全被Dump到另一文件。
2.目标文件必须正在运行中。
3.事先要找到真正的入口点(OEP)。
4.最好加载IceDump,这样建立的输入表较少存在跨平台的问题。
使用方法
1.目标文件已完全被Dump,另存为一个文件。
2.目标文件必须正在运行中。
3.事先找到目标程序真正的入口(OEP)或IAT的偏移与大小。
以加壳RebPE.exe为例,首先OD加载:
调试到00413001,设置硬件断点hr esp。
F9断下来,单步调到OEP处。
这时启用Loadpe工具,找到对应的进程,右键先执行"correct ImageSize”,再执行"dump full",保存为dumped.exe。
运行ImportREC,选择RebPE.exe进程。
在右下角OEP处埴上正确的OEP的RVA值,这里填1130,默认时,ImportREC重建输入表时会同时用此值修正入口点,同时提供正确的OEP有助于分析IAT的准确位置,单击"IAT AutoSearch"按钮,让其自动检测IAT偏移和大小。
表示输入的OEP发挥了作用,如果没有,则要手动填入IAT的RVA和大小。
单击"Get Imports"按钮,让其分析IAT结构得到基本信息。
本例中所有API都被正确识别了,显示valid:YES,如果不能识别,就会显示成valid:NO,单击"Show Invalid"按钮分析所有的无效信息。
在Imported Functions Found这一窗口中单击右键,选择Thrace Level1(Disasm),再单击"Show Invalid。
最后一步,把前面提出的IAT部分都加上Dump.exe,选择"Add new section",单击Fix Dump,选择刚抓取的Dump.exe,此时会生成一个叫Dump_exe的文件,而输入表会放在新增的.mackt区块上,此时IAT修复完成。
这个输入表重建工具下载3.1好用么,我看大小是1MB,跟前一个版本差别并不大
超级喜欢使用输入表重建工具下载,这次下载输入表重建工具下载1.9非常快速,还是最新版本,大力推荐
用了很多年输入表重建工具下载了,真心觉得它在布景保护里一直很出色,希望它能一直强大下去。
不管全不全 但因为免费 必须赞一个!!!!!!……
输入表重建工具下载3.2真的很好用哦,虽然我是第一次使用输入表重建工具下载,但我已经深深的爱上了你,哈哈哈
突然发现我现在用的输入表重建工具下载是旧版本!赶紧下载更新试试。
心累,总算是更新到v1.7了,之前遇到的问题希望已经解决了。。
之前听同学说这里有输入表重建工具下载7.50下载,还真有,我找输入表重建工具下载好久了
越更新越好用了,之前有些功能我都找不到,现在的输入表重建工具下载太令我惊喜了
太感谢了,终于有网站可以下载输入表重建工具下载了,还没用,试过之后再来评论