恶意代码分析实战18-3

最新推荐文章于 2022-04-20 21:53:33 发布

Elwood Ying

最新推荐文章于 2022-04-20 21:53:33 发布

阅读量175

点赞数

分类专栏： malware

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/yalecaltech/article/details/117386288

版权

malware 专栏收录该内容

43 篇文章 14 订阅

订阅专栏

本次实验我们将会分析lab18-4,lab18-5文件。
将lab18-4载入peid
在这里插入图片描述

可以看到是使用ASPack加壳的
载入od
在这里插入图片描述

第一条就是pushad
我们单步步过pushad
如下所示
在这里插入图片描述

选中esp的值follow in dump
在这里插入图片描述

然后下硬件断点
在这里插入图片描述

执行后如下所示
在这里插入图片描述

jnz指令的前一条是popad，我们知道跟在popad指令后面的应该是尾部跳转，尾部跳转可以将程序切换到oep运行。
我们单步步过jnz
在这里插入图片描述

在push指令后面看到了retn，它将跳转到压入栈的地址处运行，这可能就是尾部跳转
单步步过retn，来到了
在这里插入图片描述

右键，如下操作
在这里插入图片描述

结果如下
在这里插入图片描述

这样就找到了oep
将其转储
在这里插入图片描述

将转储后的文件载入peid
在这里插入图片描述

可以看到脱壳成功了。

将lab18-5载入peid
在这里插入图片描述

可以看到是WinUpack加壳得到的
载入od

在这里插入图片描述

但是会直接报错
od能够加载文件，但是不能发现脱壳存根的入口点，而会在系统断点上中断
在这里插入图片描述

我们单步
在这里插入图片描述

直到esp的值为红色
接着，右键-》数据窗口中跟随
在这里插入图片描述

然后下断点
在这里插入图片描述

执行后停在下图所示位置
在这里插入图片描述

这里就是oep的位置

还是同样的转储操作
在这里插入图片描述

载入peid看到此时脱壳成功了
在这里插入图片描述

但是查看导入信息时，如下所示
在这里插入图片描述

无法正确识别
我们需要对导入表进行修复
使用import rec进行修复工作
在这里插入图片描述

上图的两个箭头所指的地方是需要修改的，一个是lab18-5的进程，一个是oep地址
单击自动搜索
在这里插入图片描述

点击获取输出表
在这里插入图片描述

然后点击修复转存文件
在这里插入图片描述

点击打开即可
在这里插入图片描述

显示saved_success说明修复完毕
将修复后的文件载入peid
在这里插入图片描述

可以看到导入信息等都可以查看了
说明脱壳成功

参考：
1.《恶意代码分析实战》

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
恶意代码分析实战18-3

本次实验我们将会分析lab18-4,lab18-5文件。将lab18-4载入peid可以看到是使用ASPack加壳的载入od第一条就是pushad我们单步步过pushad如下所示选中esp的值follow in dump然后下硬件断点执行后如下所示jnz指令的前一条是popad，我们知道跟在popad指令后面的应该是尾部跳转，尾部跳转可以将程序切换到oep运行。我们单步步过jnz在push指令后面看到了retn，它将跳转到压入栈的地址处运行，这可能就是尾部跳转单步步过
复制链接

扫一扫

专栏目录

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。