快速搞定压缩壳

压缩壳,不压缩能叫压缩壳吗..虽然有些程序处理出来的未必就一定小于原程序

 

发现一招很有效的脱壳方法, 就是不管三七二十一,在.text 段,通常是401000那下段,程序跑到那边就是oep了,然后用插件dump & 修复下iat ,就ok了

 

有些程序可以很完整的跟到这个解压过程,比如upx, f8 过去能看到很明显的解压过程,通常是rep mov dword ptr [edi] ,dword ptr[esi]

 

这种,看下寄存器,然后ctrl +g 到那里,和没加壳之前的入口点是否一致 ? 

 

还有么就是esp ,比这更简单,esp 不行,就用这招,两者结合,搞定大多数压缩壳 ,测试过,aspack ,upx, petite, pecompact ,fsg ,nspack 

非常的好用啊

 

印象最深的是fsg ,有在iat那改结束标志,要手动改回来(改成0) 才修复的了.

 

当然,我这是速脱,原理啥的,iat 处理啥的看的都不很仔细,加强下汇编准备细看,否则到加密壳那,肯定一败涂地..