Wipe hết các section của armadillo (.text1, .adata, .data1, .pdata) : Chỉnh Base of code và base of data: Option LordPE: rebuildPE: Run thử: Done. Cách II: xài ArmInline: cơ chế hoạt động của ArmInline các bác xem qua Tut Tomo #5 : Trong armInline ở trên, điền thêm thông tin vào mục codeSplicing: Start of SplicedCode: Length of spliced code: 12000 => remove splices. Hiện thông báo lỗi : OK, lại hiện lỗi: OK : Như vậy có 2 chỗ mà ArmInline ko fix được. Vô CPU windows, Ctrl + B, gõ vô E92 (có thể máy các bác khác), tại mấy câu lệnh jump to spliced code của em có dạng: 0040505A - E9 2ABDFA02 JMP 033B0D89 0040434D - E9 2EBFFA02 JMP 033B0280 OK, Olly dừng lại, Ctrl + L để search tiếp, cứ thế các bác tìm được các chỗ mà ArmInline chưa fix, ta fix bằng tay > < Jump 1 chưa fix : 0040434D - E9 2EBFFA02 JMP 033B0280 00404352 0FCE BSWAP ESI 00404354 0FCE BSWAP ESI 00404356 90 NOP 00404357 C3 RETN Như vậy có 10 bytes bị armadillo nó thịt, JMP đến 33B0280 : 033B0280 8B00 MOV EAX,DWORD PTR DS:[EAX] 033B0282 89C0 MOV EAX,EAX 033B0284 5E POP ESI 033B0285 5F POP EDI 033B0286 5B POP EBX 033B0287 96 XCHG EAX,ESI 033B0288 66:91 XCHG AX,CX 033B028A 66:87F9 XCHG CX,DI 033B028D 66:87F9 XCHG CX,DI 033B0290 66:91 XCHG AX,CX 033B0292 7D 02 JGE SHORT 033B0296 033B0294 7D 05 JGE SHORT 033B029B 033B0296 96 XCHG EAX,ESI 033B0297 89EC MOV ESP,EBP 033B0299 5D POP EBP 033B029A - E9 B34005FD JMP UnPackMe.00404352 1 đống câu lệnh vô nghĩa được thêm vô, những byte bị arm thịt là 8B 00 89 C0 5E 5F 5B 89 EC 5D Copy đống byte này và paste binary vô cái đống chết dịch 40434D – 404356. Sau khi paste: 0040434D 8B00 MOV EAX,DWORD PTR DS:[EAX] 0040434F 89C0 MOV EAX,EAX 00404351 5E POP ESI . tay > < Jump 1 chưa fix : 00 404 34D - E9 2EBFFA02 JMP 03 3B02 80 00 404 352 0FCE BSWAP ESI 00 404 354 0FCE BSWAP ESI 00 404 356 90 NOP 00 404 357 C3 RETN Như vậy có 10 bytes bị armadillo. AX,CX 03 3B028A 66:87F9 XCHG CX,DI 03 3B028D 66:87F9 XCHG CX,DI 03 3B02 90 66: 91 XCHG AX,CX 03 3B0292 7D 02 JGE SHORT 03 3B0296 03 3B0294 7D 05 JGE SHORT 03 3B029B 03 3B0296 96 XCHG EAX,ESI 03 3B0297. đến 33B02 80 : 03 3B02 80 8B 00 MOV EAX,DWORD PTR DS:[EAX] 03 3B0282 89C0 MOV EAX,EAX 03 3B0284 5E POP ESI 03 3B0285 5F POP EDI 03 3B0286 5B POP EBX 03 3B0287 96 XCHG EAX,ESI 03 3B0288 66: 91 XCHG