脱壳的步骤有:
分析壳类型 → 找到OEP → DUMP脱壳 → 修复EIP
1.常见壳的特点总结
2.找到OEP方面一些理解后的技巧:
方法一:单步跟踪法
1.用OD载入,点“不分析代码”
2.单步向下跟踪F8,实现向下的跳。也就是说向上的跳不让其实现!(通过F4)
3.遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——>运行到所选)
4.绿色线条表示跳转没实现,不用理会,红色线条表示跳转已经实现!
5.如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易跑飞,这样很快就能到程序的OEP
6.在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入
7.一般有很大的跳转(大跨段),比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就会到程序的OEP。
理解:单步跟踪法其实主要是脱壳的时候利用F8单步分析,遇到近CALL时候F7跟进,原地循环的时候F4,最后大跳转时候可能就是EIP
主要初级练手学习的思路,也容易理解,壳代码执行过程中会首先解压出以前原始程序的相关资源代码,最后跳到原始程序的入口点(OEP),我们之所以F8就是跳过解压部分。当有时候原地循环一般是释放资源for循环的过程,这不是我们所关心的,我们只关心结果。所以就在之后开始运行(F4)。值得注意的是,当附近有CALL的时候跟进(F7)主要是防止“跑飞”,比如说遇到CALL一个OD没有分析出代码内容的地址:
如图所示CALL 0040D00A,是属于跳到一条汇编指令(JMP 459DD4F7)的中间,如果认真对0040D00A地址代码分析就会发现其实是这样:
就是将ebp+1之后然后返回正好又运行到“jmp 0040D00E”的位置,假设贸然F8程序就“跑飞”了
方法二:ESP定律法
ESP定理脱壳(ESP在OD的寄存器中,我们只要在命令行下ESP的硬件访问断点,就会一下来到程序的OEP了!)
1.开始就点F8,注意观察OD右上角的寄存器中ESP有没突现(变成红色)。(这只是一般情况下,更确切的说我们选择的ESP值是关键句之后
的第一个ESP值)
2.在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者是hr XXXXXXXX),按回车!
3.选中下断的地址,断点—>硬件访—>WORD断点。
4.按一下F9运行程序,直接来到了跳转处,按下F8,到达程序OEP。
理解:pushad时候,到最后程序解析释放完资源的时候popad,其实变化的主要是eip而别的寄存器没有发生变化,这样保护了平衡性。ESP定律正好抓住了这一点,在第一次ESP发生变化的时候,对ESP部分下了硬件访问断点(不能是写断点),当程序再一次访问到ESP指的那个栈位置时候就触发了中断。值得说明的是还别忘了中断后取消断点不然或许对后续运行有干扰。
方法三:内存镜像法
1:用OD打开软件!
2:点击选项——调试选项——异常,把里面的忽略全部√上!CTRL+F2重载下程序!
3:按ALT+M,打开内存镜象,找到程序的第一个.rsrc.按F2下断点,然后按SHIFT+F9运行到断点,接着再按ALT+M,打开内存镜象,找到程序的第一个.rsrc.上面的.CODE(也就是00401000处),按F2下断点!然后按SHIFT+F9(或者是在没异常情况下按F9),直接到达程序OEP!
理解(来自看雪上牛人的解释):因为程序加壳后,运行的时候会进行解压,把加壳之前的结构映射到内存,最后一个一般就是rsrc资源段下。这个断点就是让文件完全映射到内存。然后壳会重新来code段进行一些操作,譬如打乱IAT,让你不能得到未加壳前文件的结构,这样在code段下断就可以来到OEP附近了。
提到了两点:从壳的角度出发,壳程序解压时候,映射到内存时候,最后一个一般是rsrc资源段,因此下断点就是让文件完全映射到内存。之后在code段下断是在壳代码处理IAT之后,位置会在OEP附近了。另外.CODE段其实不是很准确,这个和编译器甚至壳关系很大,严格说是0x00401000(基地址+0x1000)的地方!
方法四:一步到达OEP
1.开始按Ctrl+F,输入:popad(只适合少数壳,包括UPX,ASPACK壳),然后按下F2,F9运行到此处
2.来到大跳转处,点下F8,到达OEP!
理解:有点类似ESP定律的一种思路吧,因为PUSHAD和POPAD成对,如果说PUSHAD处理释放资源之后最后会在POPAD里面还原,那么确实最后一个POPAD之后就会到OEP了。不过记得也就UPX最明显,一个PUSHAD和POPAD,一找即中!这个方法不通用,倒不如说是写简单壳思路的一种逆向应用。
方法五:模拟跟踪法
1:先试运行,跟踪一下程序,看有没有SEH暗桩之类
2:ALT+M打开内存镜像,找到(包含=SFX,imports,relocations)
3:找到地址(假如为0054B000),如是我们在命令行输入tc eip<0054B000,回车,正在跟踪ing。。
理解:这个方法不能遇到程序有“暗桩”(反调试的手段)的情况,不然就会被断掉。
至于tc eip<0054B000,OD的tc命令是“Trace in till condition 跟踪直到条件进入”,即运行到eip小于.aspack那个段的时候。这个应该和特点的壳的特性有关,ASPACK在SFX,imports,resources区段里面解压,最后肯定要跨段访问0054B000的地址。因此在此处下断之后,可以往后跟踪不远找到OEP。
方法七:“SFX”法
1:设置OD,忽略所有异常,也就是说异常选项卡里面都打上勾
2:切换到SFX选项卡,选择“字节模式跟踪实际入口(速度非常慢)”,确定。
3:重载程序(如果跳出是否“压缩代码?”选择“否”,OD直接到达OEP)
最后再链接一篇我觉得写的很好的脱壳总结
脱壳七法