简单脱壳教程笔记

最新推荐文章于 2024-05-28 09:52:31 发布
最新推荐文章于 2024-05-28 09:52:31 发布
阅读量7.4k 收藏 54
点赞数 9
原文链接：https://blog.csdn.net/obuyiseng/article/details/50925774
版权

文章目录

1、手脱UPX壳

简介：

UPX (the Ultimate Packer for eXecutables)是一款先进的可执行程序文件压缩器，压缩过的可执行文件体积缩小50%-70%，主要功能是压缩PE文件(比如exe,dll等文件),有时候也可能被病毒用于免杀.壳upx是一种保护程序。

脱壳：

工具：
ExeinfoPE或PEid、OD、LordPE、ImportREConstructor
脱壳文件：
01.rmvbfix.exe

笔记：

1、使用ExeinfoPE或PEid确定是否加壳

在这里插入图片描述
在这里插入图片描述
2、脱壳，们这里使用四种方法来进行脱壳，无论使用哪种，我们都需要找到OEP位置，然后进行脱壳即可。

方法1：单步跟踪（需要有耐心）
单步跟踪法

要点：将程序拖入到OD中，一步一步单步跟踪执行，原则向上跳转不能让其实现，向下跳转可以实现。
操作
1）将程序加载如OD中，会弹出是否自动分析的对话框。当我们确定程序是被加壳的情况下，我们选择否，否则我们选择是。
在这里插入图片描述

2） 找OEP 由于我们使用的是单步跟踪，我们可以按F8进行单步执行。
在这里插入图片描述
3）当向下跳转可以实现，继续单步即可
在这里插入图片描述
向上跳转不能让其实现
在这里插入图片描述
将代码运行到跳转的下一行：选中该行，右键——断点——运行到选中位置 或直接F4即可
在这里插入图片描述
或者设置断点——运行——取消断点
在这里插入图片描述
注意：当jmp下面是call的情况，我们要在call的下面下断点，如下图，我们就需要在papad的位置下断点
在这里插入图片描述
4） 当我们发现有出栈popad的时候，并且紧跟着一个大的跳转的时候，那么要调到的位置一般就是OEP的位置
在这里插入图片描述
5）我们进入到OEP位置
在这里插入图片描述
6）找到OEP后 我们就可以进行脱壳，

一、使用ODE插件

在这里插入图片描述
有两种方式，然后点脱壳，保存
在这里插入图片描述

二、tools按钮选择LordPE进行脱壳（提前在SETUP PATHS里添加好）

在这里插入图片描述
在这里插入图片描述
然后右键修复镜像大小、选择完整转存
在这里插入图片描述
使用ImportREConstructor 进行修复，先选择需要脱壳的程序
根据OD中的地址，计算出OEP， OEP=VA(0047738C)-加载基址(00400000) 及刚才插件显示的7738C
然后获取导入表，显示无效的，最后进行修复
在这里插入图片描述
7、查看脱壳是否成功
在这里插入图片描述

方法2：ESP定律法
ESP定律法

1、单步 只有ESP突变
在这里插入图片描述

在这里插入图片描述2、右键 在数据窗口跟随

在这里插入图片描述

或者在输入dd xxxx / hr xxxx(ESP值)
在这里插入图片描述

3、右键设置断点——硬件访问断点——word/Dword （ 在之前把其余断点删除）
在这里插入图片描述
然后运行
在这里插入图片描述
在这里插入图片描述

然后再删除硬件断点，单步到达OEP

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
重复方法一步骤6

方法3：2次内存镜像法
2次内存镜像法

1、第一次查找内存或者上排的M直达
在这里插入图片描述2、找到程序段的第一个.rsrc资源文件字，下段，然后运行
在这里插入图片描述

3、第二次找内存00401000下段，运行
在这里插入图片描述
4、单步跳转，到达OEP

方法4：一步直达法
一步直达法

1、右键或ctrl+f查找popad ，去掉整个块的√
在这里插入图片描述
在这里插入图片描述
2、若不是需要的就ctrl+L继续查找，运行到popad 两种方法都可以
在这里插入图片描述
在这里插入图片描述
3、单步跳转到OEP

2、手脱ASPACK壳

简介：

AsPack是高效的Win32可执行程序压缩工具，能对程序员开发的32位Windows可执行程序进行压缩，使最终文件减小达70%！

使用工具：

PEid、OD

笔记：

方法一：单步跟踪

1、单步到call 再F8发现程序会运行
在这里插入图片描述

按F7或这个键进入call
在这里插入图片描述
跳转
在这里插入图片描述
继续单步 又有一个call会运行 继续F7
在这里插入图片描述
继续单步，向上跳转F4，再继续单步
在这里插入图片描述
在这里插入图片描述
来到OEP
在这里插入图片描述
2、脱壳，记住修正地址
在这里插入图片描述
3、查看是否成功

方法二：ESP定律法

1、看关键句的下一句，单步，ESP突变在这里插入图片描述
在这里插入图片描述
2、数据窗口跟随
在这里插入图片描述
3、下段
在这里插入图片描述
3、运行一下，删掉断点
在这里插入图片描述
4、继续单步到OEP
在这里插入图片描述

方法三：一步直达法

一步直达法

方法四：2次内存镜像法

2次内存镜像法

方法五：模拟跟踪
模拟跟踪法

1、进入内存m，找到包含SFX的
在这里插入图片描述
2、tc eip<地址 ，回车 ，OD左上角显示跟踪字样，会自动跳到OEP
在这里插入图片描述
在这里插入图片描述

方法六：SPX

1、选项——调试设置——SFX 选择第二个
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

重载一下
在这里插入图片描述
自动跳转到OEP
在这里插入图片描述

3、手脱Nspack壳

脱1.3版本

单步到call ，ESP突变也用ESP定律法

在这里插入图片描述
也可用单步跟踪法
或者 模拟跟踪法
tc eip<0043000
在这里插入图片描述

或者 2次内存镜像法
没有.rsrc的话，直接在内存00401000下段，运行
在这里插入图片描述
或者 at GetVersion （适用于3.0之前的版本）
在这里插入图片描述
在这里插入图片描述
然后在retn下断点F2——运行——取消断点F2——单步F8
在这里插入图片描述
在这里插入图片描述

版本2.3和3.7版本

无特别差异

4、手脱FSG壳

脱壳

方法1

可用单步跟踪法
在这里插入图片描述
在jmp处下断点——单步 直接跳转OEP
在这里插入图片描述
使用LORDPE脱壳后发现无法运行

修复

找个这种call
在这里插入图片描述
前面和脱壳步骤一样，找到425210-400000=25210位置
在这里插入图片描述
对应
在这里插入图片描述
命令行 输入 d425210
在这里插入图片描述
向上向下翻找到并记录边界值
上边界地址00425000
在这里插入图片描述
下边界地址00425280
在这里插入图片描述
RVA值为上边界：00425000-00400000=25000
大小为下边界-上边界 ：25280-25000=280 为了方便可直接填写1000
在这里插入图片描述

方法2

单步到这发现ESP突变，可以ESP定律法
在这里插入图片描述

方法3：FSG2.0

特殊ESP定律法，不遵循堆栈定义
单步到popad下面，看堆栈第四行
在这里插入图片描述
右键——反汇编窗口中跟随
在这里插入图片描述
下硬件断点
在这里插入图片描述
shift+F9跳转到OEP
在这里插入图片描述

ACE_TOPHAND
关注
  • 9
    点赞
  • 踩
  • 54
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
一篇学会脱壳——06.exe脱壳
摔不死的笨鸟的博客
09-07 7098
加密壳脱壳
脱壳工具哪个好？
xzwh02的博客
08-01 1023
其中包含了aspack脱壳机、vmprotect ultimate、EXECryptor修改版、upx脱壳工具、Scylla汉化版、EncryptPE修改版、万能脱壳工具等等，这些脱壳软件够自动识别壳类型和编译器，支持各种常见的类型，操作非常简单方便，功能也非常的强大，这里为大家提供了脱壳工具下载大全，感兴趣的朋友可以来绿色资源网免费下载体验！quick unpack是一款非常实用的万能脱壳工具哦，这款工具适用于任何范围，能够脱壳超多文件哦，让用户使用非常便携，感兴趣的朋友赶紧来下载试玩吧！
逆向基础：软件手动脱壳技术入门
最新发布
2401_84206094的博客
05-28 961
最后一次异常法的原理是，程序在自解压或自解密过程中，可能会触发无数次的异常。如果能定位到最后一次程序异常的位置，可能就会很接近自动脱壳完成位置。现在最后一次异常法脱壳可以利用Ollydbg的异常计数器插件，先记录异常数目，然后重新载入，自动停在最后一次异常处。
对一个加壳的可执行文件进行脱壳三种方法
任浩的博客
02-03 1814
1、自动静态脱壳：通过一些脱壳工具即可，相当于解压缩，最为方便快捷 2、自动动态脱壳：运行可执行文件，让脱壳存根的的文件脱出原始的可执行文件。 3、手动脱壳：找到加壳算法程序，自己分析源程序进行脱壳。 ...
EXE程序脱壳工具
03-19
EXE程序脱壳工具
脱壳_00.exe
for_mat_的博客
07-31 359
用scanwithPEid扫描，看是否upx加过壳： 然后用OD打开此加壳文件，用upx脱壳的原理就是可以把壳代码想象成一个完整的函数，在刚进入，保存寄存器环境（PUSHAD）的时候下一个断点，然后单步执行，： 由于不清楚447000是个什么东西，因此可以查看内存，上面的M按钮： 是upx1的首地址。按c返回到汇编代码区域。push完EDI之后看寄存器EDI的值，40100...
著名的脱壳工具的使用教程
11-03
用于反汇编程序的脱壳软件的使用教程，适用于32位与64位的程序
脱壳基础教程
Aquarius_ego的博客
05-29 6951
软件脱壳相关介绍
手动脱壳教程
weixin_44032972的博客
05-21 1万+
一、什么是壳？         壳是指在一个程序的外面再包裹上另一段代码，保护里面的代码不被非法修改或反编译的的程序。它们一般先于程序运行，拿到控制权，然后完成它们保护软件的任务。 二、壳的加载过程 1、保存程序入口参数         加壳程序初始化时保存各个寄存器的值（用堆栈），外壳执行完毕后，再恢复各个寄存器的值，最后再跳到源程序执行。 2、获
VMP脱壳教程 BY Nooby
08-05
VMP手动脱壳教程，由Nooby大牛制作
ExeinfoPE查壳查壳脱壳工具PE
05-22
跟PE的界面一样.是一款功能很多的查壳脱壳 小工具!!
脱壳教程第1-4篇
12-26
脱壳教程第1-4篇
PEcompact脱壳教程.exe
08-02
PEcompact ver.2.78a ~ 3.0.3.9 是一个压缩壳，压缩壳可以用到恒大的ESP定律 ESP上点击右键选择 HW。。。 下硬件断点 当然，你也可以手动 F9运行一次看看 004654B3 83C4 04 add esp,0x4 到了add ESP 可以F8往下了 004010EC > 68 CC624000 push srtmaker.004062CC ; VB5!6&vb6chs;.dll 004010F1 E8 EEFFFFFF call srtmaker.004010E4 ; jmp 到 msvbvm60.ThunRTMain 004010F6 0000 add byte ptr ds:[eax],al 004010F8 0000 add byte ptr ds:[eax],al 004010FA 0000 add byte ptr ds:[eax],al 004010FC 3000 xor byte ptr ds:[eax],al 004010FE 0000 add byte ptr ds:[eax],al 00401100 40 inc eax ; srtmaker. 这就是OEP，程序入口 然后打开LordPE 完整转存 然后打开IMPortREC 到此已经脱好了，请各位爽吧
pe结构详解-脱壳教程
07-18
pe结构详解，脱壳必备教程，含PE结构图。 从某种意义上讲，可执行文件的格式是操作系统本身执行机制的反映。掌握可执行文件的数据结构及其一些运行机理，也是研究软件安全的必修课
脱壳教程笔记用到的工具和程序
03-18
http://blog.csdn.net/oBuYiSeng/article/category/6140987中的 简单脱壳教程笔记 用到的工具和程序
简单脱壳教程笔记(2)---手脱UPX壳（1）
热门推荐
oBuYiSeng的博客
03-18 1万+
本笔记是针对ximo早期发的脱壳基础视频教程，整理的笔记。        ximo早期发的脱壳基础视频教程 下载地址如下：            http://down.52pojie.cn/%E5%90%BE%E7%88%B1%E7%A0%B4%E8%A7%A3%E8%A7%86%E9%A2%91%E6%95%99%E7%A8%8B/ximo%e8%84%b1%e5%a3%b3%e5%9f%
简单脱壳教程笔记(5)---手脱Nspack壳
oBuYiSeng的博客
03-19 2081
本笔记是针对ximo早期发的脱壳基础视频教程，整理的笔记。        ximo早期发的脱壳基础视频教程 下载地址如下：            http://down.52pojie.cn/%E5%90%BE%E7%88%B1%E7%A0%B4%E8%A7%A3%E8%A7%86%E9%A2%91%E6%95%99%E7%A8%8B/ximo%e8%84%b1%e5%a3%b3%e5
EXE Pack ——脱壳
sxr__nc的博客
12-12 1768
0x00 查看程序信息： 程序运行状态： 0X01调试器调试 一路F7，可以来到壳程序解密数据的代码，通过反汇编窗口可以实时的跟踪被修改的数据情况： 之后F7 进行单步调试，可以看到很多API函数的调用，在这里需要注意的是，CreateProcessA函数的调用，会新建一个与现有进程名字一样的新进程： 这个进程其实是一个守护进程的作用，在创建进程之后，就会退出当前进程，所以我们要做的操作...
de4dot脱壳教程
02-05
de4dot是一个用于去除.NET程序集壳保护的工具，它可以帮助研究人员分析和处理经过加密和混淆的程序集。下面是de4dot脱壳教程： 步骤1：下载并安装de4dot工具。可以在de4dot的官方网站或github上找到最新的版本，并按照说明进行下载和安装。 步骤2：打开命令行窗口并进入de4dot的安装目录。 步骤3：使用de4dot对需要脱壳的程序集进行处理。输入命令`de4dot.exe target.exe`，其中target.exe是需要脱壳的程序集文件名。 步骤4：等待de4dot处理完成。该过程可能会花费一些时间，具体取决于程序集的复杂性和大小。 步骤5：查看处理结果。一旦de4dot处理完成，会在同一目录下生成脱壳后的程序集文件。可以通过反编译工具或者其他分析工具来验证脱壳后的程序集是否符合预期。 需要注意的是，脱壳操作可能会涉及法律和道德方面的问题，因此在进行脱壳操作之前要确保自己有合法的使用权限，并且仔细评估是否违反了法律和道德规范。另外，对于商业软件和受保护的程序集，脱壳可能会侵犯软件开发者的权益，因此在进行脱壳操作时要谨慎对待。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值