OD脱壳-再次载入-软件无法找到入口

最新推荐文章于 2024-10-11 13:41:59 发布
最新推荐文章于 2024-10-11 13:41:59 发布
阅读量1.9k 收藏
点赞数
分类专栏： 逆向分析 文章标签： 逆向分析 软件破解
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33528164/article/details/66431606
版权

关于OD脱壳的一个问题,看到其他博客没有说明解决方法。特此说明
问题：
系统:win 7 64,win 10 64
软件：ollydbg
描述：ollydbg脱壳后，用exeinfope或peid来分析，发现已脱。将脱壳后的软件载入OD，出现OD无法找到入口点。情况如下图：
出现的异常情况
解决方法：如果你的系统要是32位的，也许不会出现以上问题。如果各位的系统是64位的，则会出现。于是解决方法就呼之欲出了，在虚拟机中新建win 7 32位，在里面进行脱壳，就不会出现问题了。（以上均是本人的亲身经历，若有不当，请在留言区回复）

【脱壳-寻找OEP】通过内存定位OEP实现脱壳
这个人很懒什么都没有留下
10-19 547
注意：不需要去断加壳程序原本的代码断，因为他本身的代码断是做解密 还原 写入的，没必要在他本身做断点。这次用的也是UPX的壳，载入特殊od后可以看到upx的壳是在我们原始oep的代码外面，UPX0里面才包含我们的原始入口点，UPX1是不包含的，UPX1这块就对 解密 还原 写入这三个步骤进行操作，然后写入到UPX0这个输入表中，也就是我们真实的OEP入口代码地址。设置完后F9运行，可以发现他断在了我们的入口点处，代码已经解密完成了，加壳程序已经还原了他的代码，这也是还原后执行的第一行代码段被我们断了下来。
【逆向】【UPX】【ODdump】硬件断点后内存转储程序无法运行成功解决及脱壳步骤
lanlanla的成长历程
01-08 1690
目录 问题如下： 解决： 总结： 问题如下： 脱壳的时候我下了硬件断点：在PUSHAD的下一步查看ESP，OD的左下角goto到esp指向的地址，然后右键下硬件断点。 这样再运行很容易就直接定位到了POPAD，看起来都挺顺利的，很容易找到了OEP的位置。但是内存转储出来的exe打开无效果不运行，在110版本的OD中提示：“hasentrypointoutsidethecode...
如何在OD加载程序遇到入口点之前执行代码之一：线程局部存储
Makers
11-19 2565
两个月前，我面试某公司，面试官提了一个问题，就是我这篇文章的标题。 以前也看过一个帖子，程序在main函数之前做了什么 这次是在main函数之前执行一段代码 代码如下：编译器masm，编译选项默认 .386 .model flat,stdcall option casemap:none include windows.inc include user32.inc includelib
用内存断点找OEP 问题 脱壳时提示无法读取被调试进程的内存 bad dos signature
一根火柴博客
02-03 8234
1. 本文要解决的问题是：    1.什么是内存断点？    2.如何在寻找OEP时使用内存断点。    3.内存断点的局限性。     2.内存断点寻找OEP的原理   i.首先，在OD中内存断点，硬件断点和普通断点（F2下断）是有本质区别的。硬件断点等效与SoftICE命令bpm，他的中断要用到DR0-DR7的调试寄存器，也就是说OD通过这些DR0-DR7的调试寄存器来判断是否断下
解决“无法定位程序输入点”错误的三种有效方法
最新发布
nntxthml的博客
10-11 5494
无法定位程序输入点”错误是一个常见的DLL文件问题，但通过上述三种方法，您应该能够找到解决问题的有效途径。希望本文能够对您有所帮助！打开“开始菜单”，选择“运行”（或使用快捷键Win+R），在打开的运行窗口中输入“regsvr32 kvpvbsext64.dll”（注意替换为您实际下载的DLL文件名），然后点击“确定”或按回车键。在打开的页面中，点击“检查更新”按钮，系统将自动检查并下载可用的更新。如果您不熟悉手动操作，或者手动操作未能解决问题，那么使用专业的DLL修复工具将是一个更直接且快速的选择。
【笔记】单步跟踪法与UPX的脱壳理解
weixin_30344995的博客
05-31 356
用PEiD查壳 UPX v0.89.6 - v1.02 / v1.05 - v1.22 这个是入门的壳，只是一个简单的压缩壳用Stud_PE查看PE文件头信息 主要是看一下ImageBase的值 00400000，这是一个16进制数。在后面OD载入后，可以用这个值在内存映像中查看PE文件加载到内存后的情况。还有EntryPoint的值： 0000E8C0 程序...
二次内存镜像脱壳演示；找到OEP之后无法脱壳：无法读取内存，Bad DOS Signature解决方法
uiop_uiop_uiop的博客
01-29 1210
刚开始直接F2设置中断，会出现无法读取内存，Bad DOS Signature的情况： 在Windows XP下尝试使用LordPE，修正镜像大小后再右键 完整转存也不行 F2断点，无法dump内存，可以用内存断点：  再走一遍，点击上面的m：  run 再打内存断点 具体动画演示见：http://kxdkxd.f3322.net:8089/od.htm...
DLL文件脱壳
weixin_43575859的博客
05-19 1万+
博客中用到的例子和某些程序的链接在文章末尾。 对DLL文件进行脱壳的原理和对普通PE文件进行脱壳的原理其实是差不多的，就是多了一个构造重定位表的步骤。因为DLL文件都是映射到其他进程的地址空间中，所以基址很有可能不是默认基址。而壳又会破坏原来的重定位表，所以我们脱壳后需要手动构造一个新的重定位表。 第一步，也是需要像脱普通PE文件的壳一样，先找到OEP，然后再把镜像文件给Dump下来。但是因为重定位的关系，我们又希望脱壳后的文件尽量和脱壳前的一样，所以我们就需要找到壳中进行重定位的那一段代码，然后将其跳
od脱壳软件破解工具
09-22
但愿大家互相进修进修，大家对于破解都不是很了解，人们想学破解，可是去无从入手，所以决议为大家写1个破解初级读物的教程，但愿能大家了解破解有一些帮忙，但愿能有更多的人踏入破解的大门 　　1.低级,修改步伐,用ultraedit等东西修改exe文件,称暴力破解,略称爆破 　　中级,追出软体的注册码 　　高级,开具注册机 　　2.经常使用破解东西 　　（1）侦壳东西：PEiD 　　（2）消息联合的OllyDbg引领破解东西的新潮水 　　一，此刻咱们起首来进修下破解的开端，爆破~ 　　1.侦壳 　　要破解1个软体起主要做的就是侦壳，要侦壳就要对壳有绝对似的了解，家喻户晓，软体作者用编程语言编著好软体后，是将它编译成扩展名为EXE的可执行文件编译为EXE的目的有两点： 　　（1）有一些版权信息需要掩护起来，不克不及让别人随心改动，如作者的姓名、软体名称等； 　　（2）需要给步伐"瘦身"，从而利便存储、使用以及网上传道输送 　　为了编译，会用到一些软体它们能将可执行文件压缩以及对信息加密（图1），实现上面所说的两个功效，这些个软体称为加壳软体为软体加上的东东就称为"壳"加壳软体差别于一般的WinZIP、WinRAR等打包类压缩软体加壳软体是压缩可执行文件的，压缩后的文件可以直接运行 　　最多见的加壳软体有3个：ASPACK 、UPX、PEcompact终究它们是主流，据计数，用它们加壳的软体约占市面所有软体的90%！其它不经常使用的加壳软体有ASPROTECT、PETITE 、NEOLITE、TELOCK等软体最多见的编程语言是Delphello，Visual Basic(略称VB)，Visual C++(略称VC)了解些编程的常识，会让破解更加轻车熟道 　　底下来讲侦壳，此刻比力经常使用侦壳软体就PeiD，他具备华美的图形界面外壳整合（新增到鼠标右键）功效令使用更加利便，撑持拖放操作配置时，务请将"扩展到鼠标右键"打上对号 　　其使用要领是，鼠标点住XX.exe，按鼠标右键，选"使用PEid扫描"便可；"壳"的信息就显示在底部 　　2.破解东西OD 　　有关OD的先容我把他放到附件里了，这个是看雪论坛的先容，是比力周全的，至少我感觉比我写的要好，所以大家根据他可以大好的了解OD 　　3.爆破实例 　　爆破是破解的开端，所说的爆破，就是指路程经过过程修改可执行文件的源文件，降临达相应的目的你半大白？呵呵，举个例子好了，好比说某同享软体，它比力用户输入的注册码，要是用户输入的，跟它路程经过过程用户名（或其它）算出来的注册码相等的话（也就是说用户输入的注册码不错了），那末它就会跳到注册乐成的处所去，不然就跳到堕落的处所去 　　大白过来了吧，咱们只要找到这个跳转指令，把它修改成咱们需要的"造型"，如许，咱们是否就可认随心所欲了？ 　　一，破解时经常使用的汇编指令如下，汇编较弱者可先强行违住，以后就可逐步理解了 　　cmp a，b //比力a与b 　　mov a，b //把b的值送给a，使a＝b 　　ret //归回主步伐 　　nop //无效用，英文"no operation"的简写，意思是"do nothellong"(呆板码90) (解释:ultraedit打开编辑exe文件时瞅见90，等同于汇编语句nop) 　　call //挪用子步伐，子步伐以ret末端 　　je 或jz //若相等则跳(呆板码74 或0F84) 　　jne或jnz //若不相等则跳(呆板码75或0F85) 　　jmp //无前提跳(呆板码EB) 　　jb //若小于则跳 　　ja //若大于则跳 　　jg //若大于则跳 　　jge //若大于等于则跳 　　jl //若小于则跳 　　jle //若小于等于则跳 　　pop xx //xx出栈 　　push xx //xx压栈 　　更为具体的指令请查阅汇编册本 　　4.破解常见修改，参看表1 　　汇编指令修改 相应的呆板码修改（路程经过过程16进制编辑器实现） 　　jnz/jne->nop 75->90 　　jnz/jne -> jmp 75-> EB 　　jz/je->nop 74->90 　　jz/je -> jmp 74-> EB 　　jnz -> jz 75->74 或 0F 85 -> 0F 84 　　jz -> jnz 74->75 或 0F 84 -> 0F 85 　　jnz -> jz 75->74 或 0F 85 -> 0F 84 　　je-> jne 74->75 或 0F 84 -> 0F 85 　　表1
用OD脱壳方法
12-10
用OD脱壳方法 用OD脱壳方法 用OD脱壳方法
OD专用脱壳脚本
02-03
OD脱壳脚本通常由熟练的逆向工程师编写，包含了一系列复杂的指令序列，用于识别并移除程序的保护层，即壳。 OD脱壳脚本的工作原理一般包括以下几个步骤： 1. **载入程序**：首先，脚本会使用OD加载目标程序，对...
用OD脱壳的基本方法
02-10
壳出于程序作者想对程序资源压缩、注册保护的目的，把壳分为压缩壳和加密壳两种 UPX ASPCAK TELOCK PELITE NSPACK ... ARMADILLO ASPROTECT ACPROTECT EPE SVKP ... 顾名思义，压缩壳只是为了减小程序体积对资源进行压缩，加密壳是程序输入表等等进行加密保护。当然加密壳的保护能力要强得多！
逆向脱壳——脱壳后的修复
weixin_30762087的博客
06-21 1532
脱壳后的修复 IAT修复 IAT 导入地址表（IAT）:Import Address Table 由于导入函数就是被程序调用但其执行代码又不在程序中的函数，这些函数的代码位于一个或者多个DLL 中.当PE 文件被装入内存的时候，Windows 装载器才将DLL 装入，并将调用导入函数的指令和函数实际所处的地址联系起来(动态连接)，这操作就需要导入表完成. 为什么要手动修复IAT？ 我们已经掌握了如...
写APP接口需要注意事项
浮萍的博客
11-13 3540
1.首先如果你是后入公司的，先跟app的确认技术，是使用wcf。还是webservice,或者是其他的先进技术。反正要是他们觉得不好，你写的再好反正还是让你返工，so第一步除了需求也的先确定技术 2. 接口时一般用string来接收 ，不能用个model来直接传数据。菜鸟血的教训
四个福利性在线网站分享，每一个都让你欲罢不能……
热门推荐
weixin_43363835的博客
02-03 397万+
随着社会的不断发展，我们网络上的一些资源就像雨后春笋一般的拔地而起，许多东西我们的来不及上车就被新的事物给掩盖了，但是对于一些好用的网站来说是真的很不错，小编今天就和你们分享一些最具福利性的在线网站！ 你们准备好了吗？老司机准备发车了： 一.TinEye.com—图片搜索引擎 如果你的电脑或者你的手机里有一张不知道哪里来的图片，你想要将图片的源地址给找出来该怎么做？一般的时候我们都是束手无策，但是有了这个网站就不一样，可以图片上传带上去进行查找...
DLL文件脱壳（重定位表修复部分）
yizhenweifeng的专栏
02-15 1万+
标 题：DLL文件脱壳（重定位表修复部分）作 者：kanxue 时 间：2008-03-16 10:42 链 接：http://bbs.pediy.com/showthread.php?t=61334   13.5 DLL文件脱壳   DLL文件的脱壳与EXE文件步骤差不多，所不同的是，DLL文件多了个基址重定位表等要考虑。   在2003年出版的《加密与解密》(第二版)中以
二进制脱壳技巧揭秘：寻找入口地址与脱壳策略
7. 脱壳工具：loadpe脱壳是一种特殊情况下的手段，适用于OD（OllyDbg）等工具无法脱壳的程序。通过LoadPE加载程序，调整镜像大小，修复输入表，然后使用REC（Reconstructor）工具进行进一步操作。 二进制脱壳涉及一...
脱壳的基本步骤
行走在黑暗中的狙击者
09-01 2845
脱壳的基本步骤 1.查壳(ExeinfoPe(推荐)、PEID)---> 2.寻找OEP(OD)--->(寻找过程中如出现代码异常需要先右击分析-->从模块中删除分析) 3.脱壳--->用OD自带的Ollydump直接脱壳,但因此功能比较老bug较多，脱完可能会出现软件无法打开、内存无法读取，无法定位dll等错误,所以一律推荐在XP下运行OD查找到OEP后，使用Lo...
关于OLLYDBG版本调试的时候无法进入默认入口点的问题解决方案。
qq_33095171的博客
09-11 1436
      兄弟们，别折腾了，用下原版OLLYDBG跑一下程序看能不能在程序入口点断住，原版能的话，那么就是你的修改版OD出问题了。        一定要用的话，将修改版的插件全部清除再跑一下程序试试，我没试过。推荐用X64DBG（OD的64位版本）。 对就是下面的这小虫子。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值
>