菜鸟学脱壳

                                           一般旧版upx脱壳
说明: upx典型的入口pushad,对应出口popad,一般都要经过JMP跨段跳跃到达程序的真正入口。
工具: OllyDbg v1.10 
方法1:逐步跟踪,F8一直往前走,不让程序往回走,想往回就F4跳过,直到遇到popad后边跟
              一个跨段跳跃(就是跳的很远)的JMP,期间可能有多次跟飞的情况,此时,只好再从头
             来过.注意要记下跟飞的地址,到这些地址时F4跳过。找到JMP后的地址,dump之即可。
方法2:下API断点,有两个常用的API断点:LoadLibraryA,GetProcAddress,在开始逐步跟踪的过程中
            如果发现解释栏有kernel32.LoadLibraryA或者kernel32.GetProcAddress(优先下断点),
            直接在这里下断(命令行 bp  APIname),F9运行到断点,F2取消断点,Ctrl+F9运行程序到
            返回,此时距程序入口点就不远了,附近一定有个popad跟着一个跨段跳跃F8步进到popad
            后边的jmp就跳到程序的真正入口点,dump之即可.
方法3: 直接找popad,前提是你知道壳的特点,Ctrl+f寻找popad,在找到的地址处F2下断点,F9运行
           到断点,F2取消断点,后边的跨段跳跃直接指向程序的真正入口,F8到入口,dump之即可。
方法4:ESP定律,加载程序后,F8单步运行对应寄存器ESP的第一个变化值,右击esp寄存器,选择
           在转存中跟随(对应的命令行:d ESP值),找到对应内存地址的数值,右键选断点,硬件
           访问word,写入硬件断点。F9运行程序到断点,调试中找到刚才下的断点,删除断点,F8
           直接到程序的真正入口,dump之即可。                   
后记: dump后有可能无法运行,要用RecImport修复。

阅读更多
文章标签: api 工具
下一篇欢迎使用CSDN-markdown编辑器
想对作者说点什么? 我来说一句

吾爱脱壳练习题一

2012年07月27日 8KB 下载

没有更多推荐了,返回首页

关闭
关闭