攻防世界第7题

upx脱壳

会脱壳就可以看出答案了

• 一、查找oep

way1：

首先在程序入口发现pushad指令，接下来可以直接查找指令popad

 

 在jmp指令处下断，运行。

jmp之后来到oep

---

way2：

当然可以在单步pushad后，转到esp的内存窗口，设置硬件断点，运行，找到jmp处。

 运行后会在popad指令后停下

 跟踪jmp将转到oep

---

• 二、dump、fix dump

 在x64dbg下使用Scylla

删除掉失效函数。

最后

 脱壳完成。

 如果没有修复，直接运行程序可能会报错

flag{Upx_1s_n0t_a_d3liv3r_c0mp4ny}