脱壳的几种方法 详细操作步骤

 脱壳的几种方法  详细操作步骤

常见脱壳知识:
1.PUSHAD (压栈) 代表程序的入口点
2.POPAD (出栈) 代表程序的出口点,与PUSHAD相对应,一般找到这个,说明OEP可能就在附近
3.OEP:程序的入口点,软件加壳就是隐藏了OEP(或者用了假的OEP),
只要我们找到程序真正的OEP,就可以立刻脱壳。
  

方法一:单步跟踪
1.用OD载入,不分析代码!
2.单步向下跟踪F8,是向下跳的让它实现
3.遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——运行到所选)
4.绿色线条表示跳转没实现,不用理会,红色线条表示跳转已经实现!
5.如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,这样很快就能到程序的OEP
6.在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入
7.一般有很大的跳转,比如 jmp XXXXXX 或者 je XXXXXX 或者有RETE的一般很快就会到程序的OEP。

我们看看能不能运行,可以运行,是Microsoft Visual Basic 5.0 / 6.0的程序

下面我们看第二种方法
 

方法二:ESP定律脱壳(ESP在OD的寄存器中,我们只要在命令行下ESP的硬件访问断点,就会一下来到程序的OEP了)
1.用Od载入后就按F8,注意观察OD右上角的寄存器中ESP有没出现
2.在命令行下:dd 0012FFA4(0012FFA4指在当前代码中的ESP地址),按回车!
3.选种下断的地址,下硬件访问WORD断点。
4.按一下F9运行程序,直接来到了跳转处,按下F8,到达程序OEP,脱壳
 
可以运行,说明我们脱壳成功,下面看第三种方法


方法三:内存跟踪:
1:用OD打开软件!
2:点击选项——调试选项——异常,把里面的忽略全部勾上,CTRL+F2重新加载程序
3:按ALT+M,打开内存镜象,找到第一个.rsrc.按F2下断点,然后按SHIFT+F9运行到断点,接着再按ALT+M, 打开内存镜象,找到.RSRC上面的CODE,按F2下断点,然后按SHIFT+F9,直接到

达程序OEP,脱壳

不知道为什么我这台电脑不是直接到达oep,可能是系统问题,我这里还要向下单步几次

同样可以运行,看下面一种方法


方法四:跟踪出口法
一步到达OEP(前辈们总结的经验)
1.开始按Ctrl+F,输入:popad(只适合少数壳,包括ASPACK壳),然后按下F2,F9运行到此处
2.来到大跳转处,点下F8,脱壳

可以运行,看下一种方法

方法五:最后一次异常法  (这种脱壳方法在我这台电脑上无法演示,可能是因为系统问题吧,不过大家跟着下面的步骤做就可以找到OEP了)
1:用OD打开软件
2:点击选项——调试选项——异常,把里面的勾全部去掉,CTRL+F2重新加载程序
3:在这里我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数
4:CTRL+F2重新加载程序,按SHIFT+F9(次数为程序运行的次数-1次)
5:在OD的右下角我们看见有一个SE 句柄,这时我们按CTRL+G,输入SE 句柄前的地址!
6:按F2下断点,然后按SHIFT+F9来到断点处!
7:去掉断点,按F8慢慢向下走
8:到达程序的OEP,脱壳

最后一种方法

方法六:懒人脱壳法  (由于这种脱壳方法速度比较慢,这里我就不再演示了,大家跟着下面的步骤就可以找到oep了)
1、用od载入软件
2、点击选项——调试选项——SFX
3、选中“字节方式跟踪真正入口处(速度非常慢)”
4、重新载入软件
5、od开始自动跟踪入口点

6、直接到达oep,脱壳(适用于少数壳)


有几篇我这个月遇到的帖子,一直放在收藏夹里,给大家共享一下。都是吾爱的,吾爱好帖子肯定不止这些,我能碰巧遇见的,就这些,


      1.破解基础—你到底有没有壳  此文是经验,前人经验很重要。

      2.吾爱破解脱壳练习系列动画  我就说高手招数满天飞,应接不暇,看了一溜十三招什么也没看懂就这个。我想问的是里面被破解的软件在哪里。。。。

      3.给新手的破解教程              例子

      4.教跟我一样刚刚接触脱壳的新手少走弯路!  此文是经验,前人经验很重要。

      5.脱壳练习1-10课 我的学习笔记                   例子和经验

      6.新人該如何入門 (給真正想學習的人)           评价就一句,说的很在理

      7.羔羊带你走出迷茫,0蛋也能学破解!          内容详细,并且不像我废话连篇。

      8.一切从零开始系列教程全(易语言)学做外挂    易语言我个人认为还是先从他的软件入手,明白个基础大概再看这个。就容易多了。

      9.Cheat Engine 5.6.1 绿色汉化版_内存修改编辑工具    这个是一切从零开始里介绍的一款软件,此软件为最新绿色汉化版本。

      10.易 语 言 5.11 正式完全版                        此为官方网站直接下载。


©️2020 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页