手动脱RLPack壳实战

作者:Fly2015

吾爱破解论坛培训第一课选修作业练习的第7题。这个壳没听说过,但是脱起来比较简单,根据ESP定律即可直达光明,Dump出原来的程序。

 

老规矩,首先对需要脱壳的程序进行查壳处理。

使用DIE查壳的结果,程序加的是RLPack壳并且原程序是用微软编译器编译的。


OD载入加壳程序进行调试分析,入口点代码反汇编快照。


看到PUSHAD指令想都不要想,直接ESP定律脱壳。F8单走一步在ESP寄存器上设置硬件写入断点,然后F9运行程序,程序自然断在刚才设置的硬件断点处。


显然JMP指令的跳转地址就是原来程序的OEP地址。F7跟过去,就可以看到熟悉的入口点反汇编代码。


OK,现在可以使用Load PE结合ImportREC工具进行程序的进程DumpIAT表的修复了。


运行一下脱壳完成的程序,证明脱壳成功。


手动脱RLPack壳实战的文档和脱壳后程序的下载地址:http://download.csdn.net/detail/qq1084283172/8900731



相关推荐
©️2020 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页