UPack调试——查找OEP

最新推荐文章于 2021-03-06 22:20:09 发布
最新推荐文章于 2021-03-06 22:20:09 发布
阅读量177 收藏
点赞数
分类专栏： 逆向工程核心原理
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wk19951125/article/details/104309329
版权
OD加载程序时报错，使用Stud_PE找到EP虚拟地址并设置。接着，通过解码循环和设置IAT来分析压缩后的PE文件，确保其正确执行。
摘要由CSDN通过智能技术生成

UPack调试——查找OEP

OD运行错误

OD直接加载会报错，通过Stud_PE确定EP虚拟地址：
在这里插入图片描述
并在OD中通过New origin here命令进行设置。

解码循环

在这里插入图片描述
在这里插入图片描述

设置IAT

一般而言，压缩器执行完解码循环后会根据原文件重新组织IAT：
在这里插入图片描述

参考文献

《逆向工程核心原理》

你的名字5686
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
UPack的PE文件头分析与OEP查找
Mi1k7ea
06-11 1567
UPack（Ultimate PE压缩器），是一种PE文件的运行时压缩器，特点是使用独特的方法对PE头进行变形。UPack会使许多的PE分析程序无法正常运行，因此很多恶意代码都是通过UPack进行压缩。   UPack PE文件头分析 使用UPack压缩notepad.exe： UPack会直接压缩源文件而不会进行备份。压缩后的notepad文件更名为notepad_upack。 使...
UPack调试
qq_39249347的博客
08-19 310
Ollydbg运行错误 由于Upack会将IMAGE_OPTIONAL_HEADER中的NumberOfRvaAndSizes值设置为A，所以使用OllyDbg打开notepad_upack.exe文件时，初始检查过程中会弹出错误消息对话框： 按确认按钮关闭对话框，上面这个错误导致OllyDbg无法转到EP位置，停留在ntdll.dl区域： 该现象是由OllyDbg的Bug引起的，所以需要强制设置EP，首先要查找EP位于何处，下面使用Stud_PE查找EP的虚拟地址。 ImageBase为010.
OEP TOOL 查找工具
06-29
查找OEP的工具 能快速识别软件的OEP
快速查找UPX 的OEP的方法（一）
蜂刺
10-27 999
方法一UPX的压缩器的特征之一是，其EP代码被包含在PUSHAD和POPAD之间，并且跳转到OEP的JMP指令会紧接着出现在PUSHAD指令之后，我们只需要找到符合以下两点条件的JMP指令并设置断点就可以顺利找到OEP： 条件一：这条JMP指令上方几条指令内有PUSHAD 条件二：这条JMP指令跳转到主程序空间内，且跟随后第一条指令是push XXX 方法二方法二也利用了PUSHAD \P
免杀破解利器-OEP查找工具-OepFinder汉化版
05-24
免杀破解利器-OEP查找工具-OepFinder汉化版免杀破解利器-OEP查找工具-OepFinder汉化版
《逆向工程核心原理》第18.19章——UPack PE文件头详细描述、UPack调试——查找EOP
diamond_biu的博客
12-21 462
UPack PE文件头详细描述UPack说明比较PE文件头重叠文件头IMAGE_FILE_HEADER.SizeOfOptionalHeaderIMAGE_OPTIONAL_HEADER.NumberOfRvaAndSizesIMAGE_SECTION_HEADER重叠节区RVA to RAW导入表（IMAGE_IMPORT_DESCRIPTOR array）导入地址表INT与IAT到底有什么区别呢？UPack调试——查找OEP解码循环 UPack说明 UPack是一种运行时压缩器，其特点是用一种非常独特
UPack调试笔记
qq_45444695的博客
02-23 323
文章目录解码函数解密函数重建IAT表OPE 前言：之前我们有说到，upack压缩过后的文件的文件头部发生了变化，同时正常文件的第一，第三节区也被压缩到了notepad的第二个节区（第一，第三节区的部分空间已经映射了文件的头部）像麻花一样。 我们知道正常的PE文件，文件的第一节区应该是代码段，第二节区是数据段。upack压缩后的数据挤在第二节区，UPack解码需要将该节区的部分数据解密到第一节区。 ...
UPack PE文件分析与调试
Tokameine的博客
03-06 335
参考文章：https://blog.csdn.net/learn112/article/details/112029389 您可以将本篇文章当作该参考文章的拓展版、翻译版、压缩版，总之算是结合之后自己上手的过程记录。若您发现文章中出现错误，请务必指正。 范例：notepad_upack.exe 准备工具：010Editor、Stud_PE UPack：个人对其理解为一种压缩方法。将文件经过一定的算法编码压缩，在启动被压缩文件时将会按照逆过程解码。而其中比...
Python库 | upack-0.0.2.tar.gz
05-24
资源分类：Python库 所属语言：Python 资源全名：upack-0.0.2.tar.gz 资源来源：官方 安装方法：https://lanzao.blog.csdn.net/article/details/101784059
红黑全能自动脱壳机——全能脱壳机
01-22
这个工具的工作原理,它的壳特征和编译器特征保存在HackFans.txt里面,能识别出来的壳,基本上都有对应的脱壳函数,用壳特征脱壳,可以脱壳,对于一些不好特殊的壳你可以用OEP侦测来脱壳,这要依赖编译器特征,你也可以自己...
红黑全能自动脱壳机——非常强大的脱壳工具
08-21
upack v0.33 - v0.399 RLPack Basic Edition 1.11--1.18 exe32pack v1.42 kbys 0.22 0.28 morphine v1.3 morphine v1.6 morphine v2.7 yoda's protector v1.02 yoda's protector v1.03.2 yoda's crypt v1.2 yoda's ...
winupack加壳工具
01-10
在提供的文件列表中，有WinUpackR.exe、WinUpackE.exe、WinUpackC.exe、Upack.exe等不同版本或组件，它们可能是工具的不同模式或功能的执行程序，如WinUpackR可能是常规压缩模式，WinUpackE可能是用于加密的版本，...
在Python的struct模块中进行数据格式转换的方法
12-25
Python是一门非常简洁的语言，对于数据类型的表示，不像其他语言预定义了许多类型（如：在C#中，光整型就定义了8种），它只定义了六种基本类型：字符串，整数，浮点数，元组，列表，字典。通过这六种数据类型，我们...
35. 脱壳篇-UPX和WinUpack压缩壳的使用和脱法
墨痕诉清风的博客
03-08 1458
UPX官网：http;//upx.sourceforge.net UPX加壳 通过cmd窗口执行，进入upx目录，执行： upx.exe fishc.exe 或者直接将exe拖至upx.exe上即可 UPX脱壳 upx -d abc.exe 如果作者在导入表等地方修改的话，这种方式就不可以脱壳了，因为他自己都不认识自己了 一般情况下，加壳的程序均为 pushad ...
ASP外观专利图像检索平台(源代码+论文).rar
07-21
ASP外观专利图像检索平台(源代码+论文)
C++课程设计：电煤气管理系统【源码+文档】
07-21
C++课程设计：电煤气管理系统【源码+文档】 本程序是一个水电气管理信息系统，能够对高校的水电气费用进行管理, 包括了成员的基本信息，如学号、编号、姓名、成员水电气的用量等。程序的用途包括缴纳水电气费、查询一个同学水电气费用量、查看所有同学的缴费情况、增加学生信息、删除学生信息、退出系统等。在设计时也考虑到学生和教师在用水电气时的不同，学生可以免费使用一定额度的水电气，超过这个额度的以后必须付费，且付费部分水电气费的价格要高于教工的收费标准，该措施的实行是为了鼓励同学们节约资源，以免造成不必要的资源浪费。该软件主要是为了学校的管理人员提供便捷，以更快的完成水电气费用的收缴。该软件本着简洁明了，实用稳定为一体进行设计。 系统将实现以下功能： （1）实现对用户信息的录入； （2）实现水电煤气数据的录入； （3）实现计算并查询用户应缴费用，查询未缴纳费用的名单； （4）实现对人员的删除和添加；
ASP+ACCESS网上动态同学录系统（源代码+论文+系统说明+答辩PPT）.rar
07-21
ASP+ACCESS网上动态同学录系统（源代码+论文+系统说明+答辩PPT）
avaloniassification-mas笔记
最新发布
07-21
avalonia
LogFeaturePack: Error: Error in Feature pack D:/UnrealEngine4/UE_5.0/UE_5.0/FeaturePacks/TP_VirtualRealityBP.upack. Failed to parse manifest: Invalid Json Token. Line: 43 Ch: 4
07-16
具体是位于 D:/UnrealEngine4/UE_5.0/UE_5.0/FeaturePacks/TP_VirtualRealityBP.upack 的 TP_VirtualRealityBP 特性包。 错误信息表明在解析清单文件时遇到了无效的 JSON 标记。具体指明了错误发生在第 43 行的第 4...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值