恶意代码分析实战Lab18

最新推荐文章于 2024-04-30 17:57:54 发布
最新推荐文章于 2024-04-30 17:57:54 发布
阅读量537 收藏
点赞数
分类专栏： 恶意代码分析实战
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kevin66654/article/details/81457470
版权

论工具的重要性：百度一下找个万能脱壳机：linxerUnpacker

可以准确识别4个且成功脱壳

Lab18-02.exe : [FSG v1.00 (Eng) -> dulek/xt]
Lab18-03.exe : [PECompact v1.4x+]
Lab18-04.exe : [ASPack v2.12]
Lab18-05.exe : [Upack V0.37 -> Dwing * Sign.By.fly]

 

剩下的Lab18-01.exe

在exeinfoPE、PEID中查壳，发现UPX特征：

Lab18-01.exe : [UPX 0.89 - 3.xx -> Markus & Laszlo]

 

ESP定律即可脱壳

Flying_Fatty
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
手脱 FSG 1.0 壳
qq_40249811的博客
06-24 441
1. 加载有壳程序 2.找到 Loadlibrary 函数掉用处下断点，在第二个ret 向上数第二个就是 LoadLibrary，第一个是GetProcAddress 这段代码用于填充IAT 3 三次路过 Loadlibrary 函数掉后，去掉断点， 在GetProcAddress 上面第一个JE的函数处下断点 4.用行到断点处，向下找就是 函数入口 ...
恶意代码分析实战 1 静态分析基础技术
农夫果园好好喝的博客
01-24 1551
对Lab01-01.exe和Lab01-01.dll进行分析首先查看Lab-01-01.exe。然后查看Lab01-01.dll。这两个文件应该都是恶意文件。查看PE文件的结构：通过PE Tools查看文件头：Lab-01-01.exe 编译时间是2010年12月19日 16:16:19.Lab-01-01.dll 编译时间是2010年12月19日 16:16:38.这两个文件编译的时间非常接近，极有可能就是同时编译的。两个文件都没有加壳迹象。
恶意代码分析实战_01静态分析基础知识
最新发布
kitsch0x97的博客
04-30 1123
通过反病毒引擎扫描可疑软件、通过哈希值查询可疑软件、通过字符串查询分析可疑软件、加壳可疑软件分析、PE格式可疑软件分析、可疑软件链接库与函数分析。
PMA学习第一章
倒计时
03-23 1108
Practical Malware Analysis 对于第一章，主要是通过一些静态工具来对恶意程序分析。 收获： 新接触了三款重要软件： PEBrowsePro：PE文件头的查看，不过我还是更喜欢Stud_PE。 depends.exe：导入导出表和链接库能很清楚的看出，通过这些可以初步猜测一下恶意程序的大体功能。 Resource Hacker：我觉得这个软件，目前我发现的最大
FSG脱壳学习
華山劍派首席大弟子
09-10 604
fsg脱壳可采用：      1,超好用的esp定律法      2,单步跳转法 不过这两个方法值得注意的是，fsg壳比upx壳的oep更加的隐蔽。可能看不到大的跳转，会把跳转地址隐藏在寄存器单元中如ebx，esp等 OEP的查找并不难，主要是修复，和查找IAT *IAT*ImportAddressTableAddress导入地址表的地址 因为ImportREC自动查找的IAT
手脱FSG v1.33
weixin_30706507的博客
11-15 111
1.载入PEID FSG v1.33 (Eng) -> dulek/xt 2.载入OD，先F8跟一会 004103E3 > BE A4014000 mov esi,fsg1_33.004001A4 ; //程序入口 004103E8 AD lods dword ptr ds:[esi] 004103E9 ...
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
Lab05-01恶意代码分析
12-20
恶意代码分析实战 Lab05-01.dll IDA Pro 21道题详细分析
恶意代码分析实战课后配套练习
08-28
恶意代码分析实战课后配套练习
南开大学-恶意代码分析实验报告合集
03-16
本文件包含南开大学《恶意代码...实验内容除Lab2为补充的Yara规则实验外，其它均为课本《恶意代码恶意代码分析实战》中对应章节的实验。 此外，实验报告中也包含部分补充的编写Yara规则和IDA Python扫描规则的编写。
通用基于虚拟机的脱壳机—linxerUnpacker
08-14
通用基于虚拟机的脱壳机—linxerUnpacker
手动脱FSG壳实战的分析文档
07-09
手动脱FSG壳的详细的分析文档，该程序也是吾爱破解培训第一课作业3的分析和脱壳。
恶意代码分析实战18-1
Yale的博客
05-29 193
本次我们将会分析lab18-1，lab18-2文件。 将lab18-01载入peview 无法查看导入表等信息 将实验文件载入peid 显示什么都没找到 我们选择核心扫描 结果扫出来是upx 而查看节的时候 可以看到有一个名为upx2的节 接下来我们载入od，来手动脱壳 来到尾部跳转的位置 409f43处的jmp跳转指令后跟着一系列的0x00字节，跳转的目的地是一个比较远的位置 我们在这里下断点，然后执行过来。 单步之后来到了0040154f 此处就是程序的入口点 右键，如下操作 在弹出的
恶意代码分析实战 Lab18
baidu_41108490的博客
06-07 803
lab18-01第一个是upx加密这里我们手动脱壳,upx壳挺简单的,只要找到oep就行注意到ollydbg进去的pushad,一般在popad后就会跳转到正确oep,所以在pushad后esp的地址设个硬件访问断点,按f9就能快速到达popad最后的跳转jmp后地址就是正确oep了直接用ollydbg脱壳直接就脱壳成功了至于判断是之前的那个恶意代码也不难IDA打开看看就能大概记起来他是lab14...
恶意代码分析实战—第18章加壳与脱壳
weixin_41487541的博客
03-15 640
脱壳存根 被加壳程序中的脱壳存根由操作系统加载，然后脱壳存根负载加载原始程序。对于加壳程序来说，可执行程序的入口点指向脱壳存根，而不是原始代码。原始程序通常存储在加壳程序的一个或多个附加节中。 脱壳存根执行了以下三步操作： 1. 将原始程序脱壳到内存中； 2. 解析原始可执行文件的所有导入函数； 3. 将可执行程序转移到原始的程序入口点（OEP）。 尾部跳转 一旦脱壳存根完成脱壳，他就必须转到OEP运行。转到OEP的指令通常被叫做尾部跳转指令（jmp、ret、call）。 书中对于脱壳
UPX 0.89.6 - 1.02 / 1.05 - 2.90 (Delphi) stub -> Markus & Laszlo 手动脱壳
weixin_30517001的博客
08-22 934
UPX 0.89.6 - 1.02 / 1.05 - 2.90 (Delphi) stub -> Markus & Laszlo这个壳很容易脱壳。当然，手动只是查找到脱壳的位置，然后用OD的插件即可脱壳了。下面举个CrackMes的实例，看下如何脱这个壳，使用的依旧是ESP定律的方法找OEP，程序入口点。（1）OD载入程序，会提示压缩或是加密或是嵌入程序等提示，问...
恶意代码分析实战18-3
Yale的博客
05-29 175
本次实验我们将会分析lab18-4,lab18-5文件。 将lab18-4载入peid 可以看到是使用ASPack加壳的 载入od 第一条就是pushad 我们单步步过pushad 如下所示 选中esp的值follow in dump 然后下硬件断点 执行后如下所示 jnz指令的前一条是popad，我们知道跟在popad指令后面的应该是尾部跳转，尾部跳转可以将程序切换到oep运行。 我们单步步过jnz 在push指令后面看到了retn，它将跳转到压入栈的地址处运行，这可能就是尾部跳转 单步步过
Combat-lab深度解析：静态路由详解与实战
Combat-lab，作为一家专注于企业级IT项目实战的培训机构，提供了详细的静态路由讲解，帮助网络工程师深入理解和掌握这一技术。 静态路由的优点在于其简单性和效率。对于小型网络或者网络结构相对固定的环境，静态...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值