菜鸟学脱壳

原创 2005年04月25日 14:58:00

                                           一般旧版upx脱壳
说明: upx典型的入口pushad,对应出口popad,一般都要经过JMP跨段跳跃到达程序的真正入口。
工具: OllyDbg v1.10 
方法1:逐步跟踪,F8一直往前走,不让程序往回走,想往回就F4跳过,直到遇到popad后边跟
              一个跨段跳跃(就是跳的很远)的JMP,期间可能有多次跟飞的情况,此时,只好再从头
             来过.注意要记下跟飞的地址,到这些地址时F4跳过。找到JMP后的地址,dump之即可。
方法2:下API断点,有两个常用的API断点:LoadLibraryA,GetProcAddress,在开始逐步跟踪的过程中
            如果发现解释栏有kernel32.LoadLibraryA或者kernel32.GetProcAddress(优先下断点),
            直接在这里下断(命令行 bp  APIname),F9运行到断点,F2取消断点,Ctrl+F9运行程序到
            返回,此时距程序入口点就不远了,附近一定有个popad跟着一个跨段跳跃F8步进到popad
            后边的jmp就跳到程序的真正入口点,dump之即可.
方法3: 直接找popad,前提是你知道壳的特点,Ctrl+f寻找popad,在找到的地址处F2下断点,F9运行
           到断点,F2取消断点,后边的跨段跳跃直接指向程序的真正入口,F8到入口,dump之即可。
方法4:ESP定律,加载程序后,F8单步运行对应寄存器ESP的第一个变化值,右击esp寄存器,选择
           在转存中跟随(对应的命令行:d ESP值),找到对应内存地址的数值,右键选断点,硬件
           访问word,写入硬件断点。F9运行程序到断点,调试中找到刚才下的断点,删除断点,F8
           直接到程序的真正入口,dump之即可。                   
后记: dump后有可能无法运行,要用RecImport修复。

菜鸟的逆向经验(一):尝试脱壳UltraISO

菜鸟的我终于开始了脱壳的第一次尝试,虽然失败了好多遍但是总算是知道了怎么做了,接下来就来说一下基本的思路。     查壳,发现是Aspack壳。     通过OllyDBG找到入口点,利用ES...

菜鸟脱壳必备 常用语言的入口特征

菜鸟脱壳必备 常用语言的入口特征         ----------------------------------------------------------------------...
  • gameWYD
  • gameWYD
  • 2011年09月19日 23:59
  • 458

常见App加固厂商脱壳方法研究

目录 简述(脱壳前学习的知识、壳的历史、脱壳方法)第一代壳第二代壳第三代壳第N代壳 简述 Apk文件结构Dex文件结构壳史壳的识别 Apk文件结构 Dex文件结构 壳史 第一...

IDA pro脱壳实战过反调试

IDA pro脱壳实战过反调试标签(空格分隔): Apk逆向1. 前言之前总结了IDA pro脱壳的基本步骤,包括调试步骤和在libdvm.so的dvmDexFileOpenPartial函数出下断点...

安卓 dex 通用脱壳技术研究(二)

http://my.oschina.net/cve2015/blog/508605 摘要 本文剖析安卓 Dalvik 解释器 Portable 的原理与实现,并通过修改 Dalv...
  • problc
  • problc
  • 2015年09月26日 22:52
  • 9012

360加固逆向脱壳之过反调试

写在最前,本来是想把360加固全部脱壳后,写一篇教程。不过在我过了360加固调试后,最后卡在了native void onCreate函数的提取。最后就无结果了。但又发现许多人卡在了360加固的反调试...

腾讯应用加固的脱壳分析和修复

新手先收几篇相关文章 本文转自:http://mp.weixin.qq.com/s?__biz=MjM5NzAxMzk4NA==&mid=209300399&idx=1&sn=15396bc3300...

安卓 dex 通用脱壳技术研究(四)

http://my.oschina.net/cve2015/blog/508919 摘要 本文剖析安卓 Dalvik 解释器 Portable 的原理与实现,并通过修改 Dalv...
  • problc
  • problc
  • 2015年09月26日 22:55
  • 7269

IDA 调试 Android 方法及简单的脱壳实现

本文参考了一些网络文章,对大大们的技术分享表示感谢。小弟刚刚开始深入去搞Android的逆向不久,写一下学习笔记,希望能抛砖引玉,给新手同学们带来方便。文中如有不对的地方还请留言指正。 前置环境 ...

Android常见App加固厂商脱壳方法的整理

目录 简述(脱壳前学习的知识、壳的历史、脱壳方法)第一代壳第二代壳第三代壳第N代壳 简述 Apk文件结构Dex文件结构壳史壳的识别 Apk文件结构 Dex文件结构...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:菜鸟学脱壳
举报原因:
原因补充:

(最多只允许输入30个字)