手动脱UPX壳遇到的一些问题

kidicc · 发表于 2020-2-27 18:32

本帖最后由 kidicc 于 2020-2-27 20:19 编辑

使用论坛里的upx加壳工具对自己写的一个c程序进行了加壳，当然用工具就能解开。这里问一下在手动时遇到的问题。望大大给指点一下。环境：windows7

exeinfo pe查壳

问题1：OD打开载入后程序的起始位置为什么和其他教程里面的载入不太一样呢？看人家都是压栈入栈的语句，我这个一上来就jmp。是正常的么？哈哈哈

问题2：lordPE使用兼容模式XP，管理员权限运行，为什么找不到我正在调试的程序进程呢？论坛上说win7下用Scallar，这个是什么东西啊？百度搜不到，学生党还没建梯子。谁知道科普一下

20:00更新，upx加壳后的文件已经上传到附件里了，后缀改成exe就可以了。

20:17更新，刚刚发现，由于下完断点没有清理，导致操作时出现了很糊涂的问题

。已经删除刚才的问题了。望大家记得下完断点后及时清理，以免忘记。

堂前燕 · 发表于 2020-2-27 19:00

你这是在系统领空，od设置停在了系统断点，可以改下设置，设置第一次暂停于主模块入口点
捕获.PNG

asq56747277 · 发表于 2020-2-27 18:58

或许……应该先选那个e切换模块

Ashin · 发表于 2020-2-27 19:00

用脱壳机呀

冰棍好烫啊 · 发表于 2020-2-27 19:16

提示: 作者被禁止或删除内容自动屏蔽

kidicc · 发表于 2020-2-27 19:56

堂前燕发表于 2020-2-27 19:00
你这是在系统领空，od设置停在了系统断点，可以改下设置，设置第一次暂停于主模块入口点

emm，OD默认的就是在主模块入口点，这个没有改过。我把程序放上来好啦。

kidicc · 发表于 2020-2-27 19:58

冰棍好烫啊发表于 2020-2-27 19:16
建议使用ESP定律的方法脱壳，单步跟踪太慢了

ESP定律也要找到入栈语句吧，我这一打开就一个jmp，蒙了都

帐号		自动登录	找回密码
密码			注册[Register]

冰棍好烫啊冰棍好烫啊当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	冰棍好烫啊发表于 2020-2-27 19:16 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[新手问题] 手动脱UPX壳遇到的一些问题