LootStash
附件拖入ida
字符串数组向下翻
BoxCutter
附件拖入ida
简单的异或。脚本。结果需要删一个下划线
PackedAway
附件有upx壳,可工具脱
脱完拖入ida
直接看字符串,应该是最后一个
FollowThePath
附件拖入ida
看汇编发现是通过函数地址调用函数。下断点,然后动调
发现是逐位字符异或再比较。比较完后有smc。而且每次比较后都有一段smc
比较部分通过修改eip跳过,smc部分通过下断点再F9跳过,逐位提取字符,然后运算。脚本