执行文件方式加密FLASH文件的解密方法
本文主要给大家介绍flash文件通过执行文件方式加密过后如何进行解密。 . q9 W6 l! _9 O7 Y" O* _
工具：OD Lordpe 16进制编辑器) @: s" X& G6 k0 b! U
程序：多彩的夏天.exe
' x" z( ]2 Q- [! z, p 目的：从EXE文件中导出SWF，之后可以进行反编及修改操作# R5 p0 c2 }# z( t
说明：为了研究需要而处理的。不敬之处请您谅解。" n, l# P0 ^" ^1 D- c) y
, i. a7 J% |* D/ Z7 A 1、OD导入程序。
+ \+ t9 l$ R3 b) ^: s0 z6 p# r4 y1 R2 t9 n" u" z
停在这里
3 @ z. X) C6 s: ^+ J7 U6 x8 ^) ~- ?" ?" }/ g& e! w8 H0 K
% J- ^% ] g, Z7 K
004B556B > $ 6A 60 PUSH 60
6 t- u9 E3 h& M6 W 004B556D . 68 30805300 PUSH 多彩夏天.00538030
8 }1 s3 d' d) s' R 004B5572 . E8 E9EBFFFF CALL 多彩夏天.004B4160
( i+ `( _+ [/ o4 T3 l 004B5577 . BF 94000000 MOV EDI,94
2 s( h$ z5 `/ q* p' r( X" a' s0 w# a 004B557C . 8BC7 MOV EAX,EDI9 b2 H. X0 }: q8 y% i& A ?1 I0 F7 p
004B557E . E8 CD95FFFF CALL 多彩夏天.004AEB501 z8 ~$ l u. I; N9 _ G
+ P C, C( ?; t O" l 2、执行程序，之后可以看到程序运行的界面。以及播放的FLASH动画。
9 ^1 d! L J0 a( l) n" {
1 C% C' a0 O3 h3 d, p 注意：此程序不是用Flash播放器生成的EXE文件，所以不能用网上的一些去头的方法进行处理。
* @8 J& O" ]0 a. x$ s5 Y
2 J9 p" F" r0 H; V6 |) V# X 到OD中。9 x7 b/ k5 F3 M( N
% m# X% d$ J3 p* r; J) O( ]
ALT+M显示内存列表。
6 d8 C* `- {& Y, ]6 o) S
& Q3 V N4 _7 r5 x6 H Q! w$ P 选一些比较大的内存块，鼠标右键，在CPU中进行转存，这样在数据区时可以看到内存块的内容了，进行二进制的搜索Flash文件的头FWS 字符，如果你找到了，可以看一下，这一块内容离块的头并不远，实际上不用找也能看到的。
, s0 e& \$ \% N" b: I/ o! F" z) q. Q& U. Z/ ]
01DF0000 50 00 5F 01 50 00 5F 01 00 00 00 00 00 00 00 00 P._ P._ ......../ r' s. A( k' m" U, l- d
01DF0010 00 60 27 00 00 60 27 00 11 08 00 00 00 0B 00 00 .`'..`'. .....
1 ?" I5 x. U8 w* F01DF0020 46 57 53 06 EE 57 27 00 78 00 07 D0 00 00 17 70 FWS 頦'.x.?. p9 q% c" P& u$ ^- b" s- |
01DF0030 00 00 0C 17 00 43 02 FF FF FF 44 0B 06 00 00 00 ... .C ��D ...
9 H4 {/ }2 N s9 B( l% D2 d6 K01DF0040 3F 03 02 00 00 00 07 00 BF 05 76 2D 00 00 01 00 ? ....?v-.. .9 k( k' D0 B$ s
! I/ ~7 m7 {7 D
大约在块头的20H开始，简单说一下Flash头的格式:6 `5 V. M& V- O* i. W1 q/ O
' j w9 Y# j2 @! r# z
01DF0020 46 57 53 06 EE 57 27 00 78 00 07 D0 00 00 17 70 FWS 頦'.x.?. p( P% J) C$ `! W" n. G( h2 H! K
====== -- =========
( u( F% _0 H1 L4 U2 p P) z! ^! U" r) P3 W8 n. s9 L
标示 版本 长度2 Z4 k6 K0 t( Q. A k$ K
) {5 M* b$ s# U" i 长度内容一会要用的。当前文件的长度是2757EEH字节长，1DF0020+2757EE=1E6580E 说明我们的Flash到此位置5 g6 h- \+ [5 l7 e
* G1 l) }0 O% Q9 `
3、上lordpe，在path中选中程序的名称列表。
, A; ^, _/ V2 k r+ `5 z3 G5 z8 p; y% ?) W9 x$ O5 ~
鼠标右键 dump region 汉语是 脱壳部分区域。
2 g. a2 e7 x) U; C. l0 C$ g8 V) H5 Z% d5 K( P9 t
在列表中选中我们刚才的内存块了。
$ j$ F3 g2 L; _" ~4 K u/ m+ o9 q8 Z- T1 S# k
右键 dump，保存文件AA.SWF。, S; H8 B7 e. l: j; s# u
& V) x. g9 A! o" E! z) ` m
4、用16进制编辑器打开生成的文件AA.SWF,去掉头20H字节， 之后到2257EEH处，删除后面的字节。% G; w2 d3 k0 r3 V
6 c2 |6 V+ G0 D! _. U 之后SWF文件就可以看到了，用播放器可以看。用AVS可以反编。+ R3 K" x9 m) C8 i4 J7 @
' w+ ~/ V$ V5 w O9 j 5、总结' |) u; u) n/ H- C5 X. G) t
& t0 a4 l8 N0 s0 e7 c& R
现在网上的Flash的文件加密方法很多，但常是能被反编译，之后改文件，改底稿，改图片，为了保护作者的权力，可谓保护起来不遗余力了。+ C1 G* r0 Z1 m! D# \$ B, r
7 C9 J3 z/ M9 H* S/ m 这种保护方法是用VC编程，之后在程序中调用播放Flash的控件，再调用Flash文件进行播放。因为数据是被压缩的，不能直接dump出来的。
