OD手脱UPX壳

OD手脱UPX壳

用OD脱壳的方法有很多：ESP定律，内存镜像法，等等可参看：
https://1094093288.github.io/2018/07/25/DROPS%E7%AC%AC%E4%BA%8C%E5%91%A8%E5%91%A8%E4%B8%89/#more
今天我用ESP定律脱带壳的程序，用PEID查一下：

UPX壳，拖进OD开始脱壳：

1.先单步F7， ###当ESP变红的时候，右键“在数据窗口跟随”，在数据敞口选择以“00”,右击“断点”-》“硬件断点”-》“byte”

2.在“调试”-》“硬件断点”-》确定

3.运行程序，单击小三角，运行到这，有一个大跳转

4.单步走，很快就到OEP：

5.删除断点

6.反汇编窗口右键-》“OllyDump脱壳调试进程”-》“脱壳”

保存之后，关键就来了，程序在PEID上显示没有壳了，但是程序始终运行不了

在网上查了很多资料，说要修复程序，修复程序的IAT表，我就按着教程来，先随便到一个call函数，数据窗口跟随－》“内存地址”，数据窗口右键－》长型－》地址：
IAT导入表是地址连续的，开头是从00000开始，结束也是00000结束，可以算出他的size：尾-头

用importREC修改完IAT后，发现仍然运行不了

用网上的方法import REC修改RVA size 总是报有错误的指针，然后和源程序比较了一下IAT表，发现dump出来IAT表比原本的IAT表少了很多，
这可能是dump不对，不知道为啥少了一部分IAT表，导致运行不了，看了很多资料还是解决不了，最后想着用XP系统试一下吧，结果脱完壳之后果然可以正常运行！

哎！真的是没脾气，以后OD还是多在XP下用吧！可能是兼容性的问题！

脱壳后可能需要修复IAT，可参考：
https://www.cnblogs.com/5315hejialei/p/7060315.html

赏

你的支持是我最大的动力！

支付宝

微信