手脫 -- PECompact 2.x -> Jeremy Collake

最新推荐文章于 2017-10-26 02:52:00 发布

动起手来实现白日梦

最新推荐文章于 2017-10-26 02:52:00 发布

阅读量3.7k

点赞数

分类专栏：逆向工程文章标签： c 工具

本文链接：https://blog.csdn.net/leitianjun/article/details/4441562

版权

本文介绍了如何手动对使用PECompact 2.x加壳的程序进行脱壳，通过OD载入程序并利用ESP定律进行分析，最终找到原始OEP。在脱壳后注意可能存在无效指针问题，可以利用kernel32.dll的GetProcAddress函数进行修复。

摘要由CSDN通过智能技术生成

手脫 -- PECompact 2.x -> Jeremy Collake
PEID： PECompact 2.x -> Jeremy Collake
脱壳工具下载有专用的脱壳工具，这里做为练手。
OD载入加了壳的程序.
入口点: --- 这里很怪如果你F8走, 走到00401016 就会飞
1.先忽略所有异常.
2. F8 行两步 , 这里可以用ESP定律
00401000 >  B8 DC2B4100     MOV EAX,rcrawler.00412BDC
00401005    50              PUSH EAX
00401006    64:FF35 0000000>PUSH DWORD PTR FS:[0]
0040100D    64:8925 0000000>MOV DWORD PTR FS:[0],ESP
00401014    33C0            XOR EAX,EAX
00401016    8908            MOV DWORD PTR DS:[EAX],ECX
00401018    50              PUSH EAX
00401019    45              INC EBP
0040101A    43              INC EBX
0040101B    6F              OUTS DX,DWORD PTR ES:[EDI]               ; I/O 命令
0040101C    6D              INS DWORD PTR ES:[EDI],DX                ; I/O 命令
0040101D    70 61           JO SHORT Adler32C.00401080

ESP定律之後 -- 取消断点  -- 就到了这里
7C968F86    3B45 F8         CMP EAX,DWORD PTR