几个常见的壳的脱壳

  1. 云栖社区>
  2. 博客>
  3. 正文

几个常见的壳的脱壳

老朱教授 2017-10-01 20:23:00 浏览559
展开阅读全文

ASPack

  • 按步就班

不能让程序往上跳,否则会进入壳的循环。
一直走(F8),走到一个大跳转的时候,那个很有可能就是程序的入口

 

  • ESP寄存器

当八个寄存器没有变化是ESP地址变化,将找到对应的地址下断点,然而运行,运行附近的代码找到大跳转进入程序入口进行脱壳。 

PECompact2

按F7跟随

7C92E493    E8 C6EBFFFF     call ntdll.ZwContinue

按F7自动跳转

7C92D068    FF12            call dword ptr ds:[edx]   

 

Npack

01013290 >  833D 4C3E0101 00 cmp dword ptr ds:[1013E4C],0

01013297    75 05            jnz short notepad.0101329E

01013299    E9 01000000      jmp notepad.0101329F

0101329E    C3               retn

0101329F    E8 46000000      call notepad.010132EA

010132A4    E8 73000000      call notepad.0101331C

010132A9    B8 90320101      mov eax,offset notepad.<模块入口点>

010132AE    2B05 083E0101    sub eax,dword ptr ds:[1013E08]

010132B4    A3 403E0101      mov dword ptr ds:[1013E40],eax

010132B9    E8 9C000000      call notepad.0101335A

010132BE    E8 48020000      call notepad.0101350B

010132C3    E8 F8060000      call notepad.010139C0

010132C8    E8 47060000      call notepad.01013914

010132CD    A1 403E0101      mov eax,dword ptr ds:[1013E40]

010132D2    C705 4C3E0101 01>mov dword ptr ds:[1013E4C],1

010132DC    0105 003E0101    add dword ptr ds:[1013E00],eax

010132E2    FF35 003E0101    push dword ptr ds:[1013E00]

010132E8    C3               retn

 

Call 转跳到壳的循环里面了,最后直接F4到010132E8这个地址的时候直接脱壳。

 

SimplePack

  • 狂跳

往下跳的直接按enter,然后按F4,之后接着F8继续

  • ESP

 

Nspack

  • 按步就班

 

  • ESP寄存器

 

 

  • 分享经验

    这几个壳是最最最常见的,以前是大家常用的,但是现在一般不再用这些壳了,因为都很好破。

    而且一般加壳都是加多层的,爆复杂,脱了一层还要再脱,脱的不会再爱了,就像歌里唱的“如果你愿意一层一层剥开我的心,你会发现,你会流泪”,哈哈哈23333333.

    我给大家分享一下视频,本来是录制的视频的,然后又转成GIF,一起跟大家分享了吧。

    视频以及gif下载:http://pan.baidu.com/s/1nt5DTv7




本文转自我爱物联网博客园博客,原文链接:http://www.cnblogs.com/yydcdut/p/3495283.html,如需转载请自行联系原作者

网友评论

登录后评论
0/500
评论
老朱教授
+ 关注