二次内存镜像脱壳演示；找到OEP之后无法脱壳：无法读取内存，Bad DOS Signature解决方法

最新推荐文章于 2021-06-26 21:58:44 发布
最新推荐文章于 2021-06-26 21:58:44 发布
阅读量1.1k 收藏
点赞数 2

刚开始直接F2设置中断，会出现无法读取内存，Bad DOS Signature的情况：

在Windows XP下尝试使用LordPE，修正镜像大小后再右键 完整转存也不行

F2断点，无法dump内存，可以用内存断点： 

再走一遍，点击上面的m： 

run

再打内存断点

具体动画演示见：http://kxdkxd.f3322.net:8089/od.htm

uiop_uiop_uiop
关注
【脱壳-寻找OEP】通过内存定位OEP实现脱壳
这个人很懒什么都没有留下
10-19 496
注意：不需要去断加壳程序原本的代码断，因为他本身的代码断是做解密 还原 写入的，没必要在他本身做断点。这次用的也是UPX的壳，载入特殊od后可以看到upx的壳是在我们原始oep的代码外面，UPX0里面才包含我们的原始入口点，UPX1是不包含的，UPX1这块就对 解密 还原 写入这三个步骤进行操作，然后写入到UPX0这个输入表中，也就是我们真实的OEP入口代码地址。设置完后F9运行，可以发现他断在了我们的入口点处，代码已经解密完成了，加壳程序已经还原了他的代码，这也是还原后执行的第一行代码段被我们断了下来。
【脱壳-寻找OEP】通过堆栈平衡法找到OEP(ESP定律)
最新发布
这个人很懒什么都没有留下
10-19 417
本次教程用的还是用UPX的加密，直接载入这个文件可以看到一个pushad，每个pushad都有他对应的popad，他的作用就是把右边的寄存器内容压入栈中，popad就是把压入栈中的内容进行还原。我们到堆栈里给他设置一个硬件访问断点，因为他是从第一个开始弹出所以要在第一个地址里设置断点，所以等到他pop出来还原的时候也就是解码完成了，就可以顺着找到oep。对比后发现他把内容都给压入到栈中了，到popad那一步的时候他又会把压入的内容还原到堆栈中去。跳过去就是我们的OEP了。
程序运行时内存不能读的一些解决办法
04-19
程序运行时内存不能读的一些解决办法
用内存断点找OEP 问题 脱壳时提示无法读取被调试进程的内存 bad dos signature
一根火柴博客
02-03 8175
1. 本文要解决的问题是：    1.什么是内存断点？    2.如何在寻找OEP时使用内存断点。    3.内存断点的局限性。     2.内存断点寻找OEP的原理   i.首先，在OD中内存断点，硬件断点和普通断点（F2下断）是有本质区别的。硬件断点等效与SoftICE命令bpm，他的中断要用到DR0-DR7的调试寄存器，也就是说OD通过这些DR0-DR7的调试寄存器来判断是否断下
win7/10 使用脱壳插件时 显示bad dos signature
空腹猫的博客
03-24 1884
上次脱壳时使用插件进行脱壳时，出现了以下问题： 出现的原因分析： 无法读取（00400000…0045CFFF）内存：由于这段内存为只读。权限不够。 那么为何会出现上述错误？如下 出现原因是，这段基址有误，在win7/10等X64平台中基址不同于XP等X32中的。 主要是插件太老了，有很多bug 解决方案： 安装XP虚拟机，在虚拟机里进行脱壳 更改起始地址，查看...
内存镜像法脱壳
小龙在线
09-12 720
内存镜像法一般用于稍微复杂的脱壳，在本例中不是很适用，但也能找到OEP。 如果在资源段加一个断点，第一次访问资源段地址的是脱壳程序。 首先用Ollydbg打开notepad.exe文件 在菜单栏的【选项】，选择【调试设置】，然后切换到【异常】标签页 勾选该页上的各种忽略异常，然后关闭 按下Alt+M键打开内存镜像，找到notepad的资源段，也就是 地址=00407000，大小=00005000的.rsrc段，也就是第一个看到的.rsrc资源段，选中这行按下F2设置断点 然后按下F9运行，程序执行到了
vs调试无法读取内存_Java并发编程共享模型之内存可见性
weixin_42356958的博客
01-26 240
退不出的循环先来看一个现象, main线程对run变量的修改对于t线程不可见,导致了t线程无法停止:为什么呢?分析- -下:1.初始状态，t 线程刚开始从主内存读取了run的值到工作内存。3.1秒之后，main线程修改了run的值,并同步至主存,而t是从自己工作内存中的高速缓存中读取这个变量的值,结果永远是1旧值解决方法volatile (易变关键字)它可以用来修饰成员变量和静态成员变量,它可以避...
【逆向】【UPX】【ODdump】硬件断点后内存转储程序无法运行成功解决及脱壳步骤
lanlanla的成长历程
01-08 1621
目录 问题如下： 解决： 总结： 问题如下： 脱壳的时候我下了硬件断点：在PUSHAD的下一步查看ESP，OD的左下角goto到esp指向的地址，然后右键下硬件断点。 这样再运行很容易就直接定位到了POPAD，看起来都挺顺利的，很容易找到了OEP的位置。但是内存转储出来的exe打开无效果不运行，在110版本的OD中提示：“hasentrypointoutsidethecode...
Themida Winlicense不用修复VM_OEP脱壳教程.rar
03-28
Themida Winlicense脱壳教程 视频 TMD/WL入口点查找方法 1. .text段下内存写入断点,shift+F9,取消内存断点. 2. bp GetProcessHeap+C,F9,取消断点. 3. .text段下F2断点,F9到oep或者oep的第一个call里面的位置. ...
二进制脱壳
10-06
### 二进制脱壳详解 #### 一、概述 二进制脱壳是指移除程序中的保护层或加密层，以便对程序的真实代码进行分析的过程。这种技术广泛应用于逆向工程领域，对于理解受保护软件的工作原理以及发现潜在的安全漏洞至关...
ollydumpX插件, 显示xmm寄存器等
03-08
功能: 1.显示代码对应的xmm寄存器数据 2.OllyDump使用时出现 NtdllDefWindowProc_A 导入表错误 3.X64系统启动exe时出现异常EXCEPTION_SINGLE_STEP 4.自动对mswsock.dll文件的WSP系列函数命名添加标签 5.CPU信息,监视,日志窗体添加代码支持快捷复制Ctrl+C, Ctrl+A 6.CPU_DUMP添加菜单可以复制字符串
OD脱壳-再次载入-软件无法找到入口
Bill
03-26 1897
OD脱壳后出现无法找到入口
BAD packet signature 18245
天行健,君子以自强不息！~
05-26 2680
<br /> <br />今天在启动服务器时，报了一个BAD packet signature 18245错误<br />详细错误如下：<br />view plaincopy to clipboardprint?<br />01.2009-6-5 11:09:11 org.apache.jk.common.MsgAjp processHeader   <br />02.严重: BAD packet signature 18245  <br />03.2009-6-5 11:09:11 org.apache
脱壳后的IAT修复
谢绝(无视)留言与私信
02-01 4745
前言压缩壳(大部分)和加密壳脱壳后, 在OEP处Dump出来后, 都需要IAT修复. 否则运行报错. 今天练习了脱壳后的IAT修复, 将流程点记录一下.记录OEP处dump的工具OllyDump(修复导入表dump和不修复导入表dump) LordPE(有些壳dump不出来) PeTools OD在OEP处, 用这几种工具, 将PE映像Dump出来. 用这几种工具都Dump一下, 如果
OD使用笔记
輚至消亡
06-26 1271
Alt+F9: 直接从系统模块飞回程序模块 Ctrl+F9: 执行到当前函数的结尾 F4: 执行到选中的语句处 内存断点的利用: 在数据上下的断点，如果读取或写入该数据则会断下来。 在内存窗口右键选Search, 在ASCII上输入内容，然后输入搜索内容 搜索到后，找到地址 下内存断点后点击运行即可 下断点的方法: 1. 命令方式 2. 搜索API设断点: 给API设置断点，一旦调用就会断下 搜索机器码 搜索Jmp命令 搜索命令 点..
Ollydbg手动脱壳得几点小结
vbsourcecode的专栏
11-02 3595
手动脱壳 Ollydbg手动脱壳得几点小结：           一般认为手动脱壳的关键是找到软件的真正入口OEP，但是用ollydbg脱壳知道软件的真正入口OEP并不能解决问题，因为ollydbg的工作原理和softice、trw2000等的有所不同，在OEP未解压以前是不能在OEP设断上的，因此用ollydbg脱壳的关键是让程序中断在OEP，一旦中断在OEP脱壳就告完成。
OD脱壳八大法
老北京砸酱锤的博客
06-22 3937
一、esp定律法 进入程序，第行为pushad 单步步过（F8）一下，查看寄存器，当8个寄存器只有esp为红色时，右击红色地址，选择数据窗口中跟随。在左下角的窗口中可以看到，自动跟随到红色地址。 选中若干数据，右击选择断点-硬件访问-（byte，word，dword 任意选择）注：只是访问的字节数不同。 运行（F9）到达断点处，单步步过（F8)几下， 进入到不是不认识的代码地方 ，右键点击分析-从模块中删除分析。 在当前窗口右键选择dollydump脱壳调试进程，分别脱壳两次，不同之处是重建输入表
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值