破解入门（四）-----实战"单步跟踪法"脱壳
本帖最后由 涛之雨 于 2018-7-28 14:35 编辑上一篇：传送门破解入门（三）-----脱壳的常用方法
https://static.52pojie.cn/static/image/hrline/4.gifhttps://static.52pojie.cn/static/image/hrline/4.gif
《《《《《《《《《《《《《《《《《《《《《《《《《《《原文开始》》》》》》》》》》》》》》》》》》》》》》》》》》》
背景
破解的第一步是判断所要破解的程序是否加壳了，如果程序加壳了，需要将壳脱掉再来破解，所以脱壳是破解的第一步
单步跟踪法的步骤
（1）用OD载入，点“不分析代码”
（2）单步向下跟踪F8，实现向下的跳。也就是说向上的跳不让其实现（通过F4）
（3）遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）
（4）绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现
（5）如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易跑飞，这样很快就能到程序的OEP
（6）在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入
（7）一般有很大的跳转（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就会到程序的OEP
注：在有些壳无法向下跟踪的时候，我们可以在附近找到没有实现的大跳转，右键-->“跟随”,然后F2下断，Shift+F9运行停在“跟随”的位置，再取消断点，继续F8单步跟踪。一般情况下可以轻松到达OEP
实战1
查壳
用PEID等查壳工具查看所需要破解的程序是否加壳了，加的什么壳。
PEID的工作原理大家看看PEID目录下的userdb.txt文件就知道了，PEID通过壳的入口特征码进行辨认程序是加了什么壳用PEID查壳的结果如下图，可以看出程序加了ASPack2.12的壳
http://my.csdn.net/uploads/201206/10/1339294178_6423.png
2 寻找OEP
(1)用OD载入该程序
http://my.csdn.net/uploads/201206/10/1339294203_8582.png
（2）使用F8单步补过，在靠近入口处的第一个call（call 0040D00A）使用F7单步步入，在call子程序中使用F8单步补过，没有发现有用的信息，在靠近入口的第二个call（call 0040D014使用F7单步步入，否则程序会跑飞，下图是刚进入第二个call处的截图
http://my.csdn.net/uploads/201206/10/1339294227_5242.png
（3）根据"单步跟踪法"中的原则，一步一步调试，遇到向上跳转，则将鼠标点到该跳转的下一行，然后F4运行到这一行（如果让程序向上跳转，则可能程序往反方向跳转，无休无止，也就找不到OEP），向下跳转则不用处理，需要注意的是绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现，在下面的注释窗口会有该提示，下图就是一个没有实现的跳转
http://my.csdn.net/uploads/201206/10/1339294253_2019.png
（4）按照步骤（3）中的方式执行很快就会看到下图现象，出现了popad这条指令，然后push 004010CC，将004010CC这个地址入栈，后面紧跟着一个retn，程序就会返回到004010CC这个地址继续执行程序，004010CC与当前地址0040D3BF之间有个很大的跳转，由此可以判断马上将到达程序的OEP，
http://my.csdn.net/uploads/201206/10/1339294275_7372.png
（5）在retn上在按下F8单步步过即可到达OEP（OEP地址004010CC）
http://my.csdn.net/uploads/201206/10/1339294295_8459.png
3 脱壳（Dump）
（1）在OEP（OEP地址004010CC）处使用OD插件脱壳，在004010CC上点击鼠标右键，选择该菜单下的Dump debugged process，会弹出如下对话框，从下图最底Rebuild Import选项下可以看出该插件提供了两种脱壳方式
http://my.csdn.net/uploads/201206/10/1339294316_3728.png
（2）分别用Method1和Method2脱壳，点击Dump按钮然后选择文件的保存位置即可脱壳
http://my.csdn.net/uploads/201206/10/1339294362_8332.png
（3）当然也可以用LordPE来脱壳，选中要脱壳的进程notepad.exe，因为使用OD加载的时候已经启动该进程
http://my.csdn.net/uploads/201206/10/1339294384_1990.png
（4）在该进程上右键，选择该菜单下的修正镜像大小，结果如下图
http://my.csdn.net/uploads/201206/10/1339294406_8937.png
（5）在该进程上右键，选择该菜单下的完整转存（也有的翻译是完全脱壳），会弹出文件保存位置对话框，填好文件名称后保存即可，成功后会弹出如下对话框
http://my.csdn.net/uploads/201206/10/1339294425_9053.png
（6）再次用PEID检测unpack1.exe、unpack2.exe、unpack3.exe，会发现程序已经是无壳的
http://my.csdn.net/uploads/201206/10/1339294462_8758.png
（7）分别打开已经脱壳完成的unpack1.exe、unpack2.exe、unpack3.exe，会发现unpack3.exe运行后出现如下错误，则在该种情况下需要修复资源
http://my.csdn.net/uploads/201206/10/1339294484_2920.png
4 修复
（1）使用到的修复工具是ImportFix，打开ImportFix，打开notepad.exe这个进程，因为用OD载入加壳程序notepad.exe后，会产生notepad.exe这个进程（此时需要OD中将程序调试运行到OEP处，即004010CC处，否则在下面的自动查找IAT会失败）
http://my.csdn.net/uploads/201206/10/1339294517_9342.png
（2）将OEP那一栏修改成刚才在OD中找到的OEP地址000010CC，然后点击自动查找IAT，则RVA和大小这一栏中数据会改变
http://my.csdn.net/uploads/201206/10/1339294553_2395.png
http://my.csdn.net/uploads/201206/10/1339294563_9263.png
http://my.csdn.net/uploads/201206/10/1339294577_7263.png
（3）点击确定后，点击获取输入表按钮，结果如下图，其中找到的输入表函数里面的函数是程序运行需要的一些系统API
http://my.csdn.net/uploads/201206/10/1339294629_1179.png
（4）点击显示无效函数后，发现没有，在点击修复转存文件按钮，选择要修复的unpack3.exe文件
http://my.csdn.net/uploads/201206/10/1339294651_8922.png
（5）完成后会在记录这一列表框中显示结果，修复后的文件保存名字为unpack3_.exe
http://my.csdn.net/uploads/201206/10/1339294733_4618.png
文中用到的加壳程序下载地址：http://download.csdn.net/detail/qiurisuixiang/4363770
《《《《《《《《《《《《《《《《《《《《《《《《《《《原文结束》》》》》》》》》》》》》》》》》》》》》》》》》》》
https://static.52pojie.cn/static/image/hrline/4.gifhttps://static.52pojie.cn/static/image/hrline/4.gif
ps：原地址：https://blog.csdn.net/qiurisuixiang/article/details/7649591
下一篇：
破解入门（五）-----实战"ESP定律法"脱壳
Cremale 发表于 2019-2-11 18:50
楼主图加载不出来啊 望重新上传一下 谢谢！
不知道怎么回事，编辑不了，
点开编辑模式，图片全都没了，
上传总是error：IO错误
然后csdn的原链接也失效了
https://www.tuicool.com/articles/Z3ea22
这个貌似还可以看。。 zzcl558 发表于 2018-11-5 01:59
你好！我有一个软件它没有机器码，只要改动资料就要重新输入注册码，你能帮我看看吗？
不好意思，首先我也是新手。。
其次。。。
身边没有电脑，，不方便呢。。。
你可以把分析过程和哪里被卡住了写下来，
发到求助区，会有大神来帮忙的。。。
当然，如果是求破类的。。。
还是算了吧。 茫侠 发表于 2018-7-28 14:25
厉害啊，大佬！终于有个懂的讲解了
不好意思，这个“大佬”担不起
我【暂时】不生产原创帖，我【现在】只是帖子的搬运工
一起学习。。。
至于原创。。。
等我先学好再说吧
谢谢鼓励。
看到好的帖子会继续分享到论坛供大家学习、研究的。 感谢楼主哦 支持一波，666666 厉害啊，大佬！终于有个懂的讲解了 大哥，收徒不，带带我:lol 礻申 发表于 2018-7-28 15:22
大哥，收徒不，带带我
这。。。
收徒就算了吧。。。
毕竟我也是转贴的。。。
不过大家可以一起讨论。。。 没CSDN积分-.- 给的学习资料内容太少。 rxxcy 发表于 2018-7-28 16:06
没CSDN积分-.-
还好，我也没有
等我有积分
会考虑把附件传到论坛上