吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 5520|回复: 5
收起左侧

脱壳的各种方法介绍(新手总结的一点小经验,大大看了别笑我)

[复制链接]
waisini 发表于 2008-10-25 18:28
一.脱壳必备基础知识:


1.PUSHAD :(压栈) 代表程序的入口点


2.POPAD :(出栈)代表程序的出口点,与PUSHAD想对应.看到这个,就说明快到OEP了.


3.OEP:程序的入口点,软件加壳就是隐藏OEP.而我们脱壳就是为了找OEP.



二.脱壳时我们如何辨认快到OEP了呢.(快到OEP时,都有哪些共同现象).


若出现下面情况时,说明OEP就要到了:


1.跟踪时如果发现:

popad

popfd



popad


2.同时,紧接着,有retn ,jmp等其它跳转指令,发生跨段跳跃时.这说明我们马上要到OEP了.



三.脱壳牢记口诀:


1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按F4,运行到所选.


2.刚载入程序,在附近就call时,我们按F7跟进去.


3.若跟踪时,运行某个call程序就运行时,这个call也用F7进入.


4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就会到程序的OEP。



四.脱壳的几种方法总结


方法一:单步跟踪法


1.用OD载入,选"不分析代码"


2.单步向下跟踪按F8,实现向下的跳.不让程序往回跳.


3.遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——>运行到所选)


4.如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易运行.


5.在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入.


6.一般遇到很大的跳转(跨段跳),比如 jmp XXXXXX 或 JE XXXXXX 或有

RETN的一般很快就会到程序的OEP。


方法二:ESP定律法


1.开始就点F8向下走,注意观察OD右上角的寄存器中ESP有没突现(变成红色)


2.在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者是hr XXXXXXXX),按回车!


3.选中下断的地址,断点--->硬件访--->WORD断点。


4.按一下F9运行程序,直接来到了跳转处,按下F8向下走,就到达程序OEP。



方法三:内存镜像法


1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序!


2.按ALT+M,打开内存镜象,找到程序的第一个.rsrc.按F2下断点,然后按SHIFT+F9运行到断点.


3.接着再按ALT+M,打开内存镜象,找到程序的第一个.rsrc.上面的.CODE,按F2下断点!然后按SHIFT+F9,直接到达程序OEP!


方法四:一步到OEP


1.开始按Ctrl+F,输入:popad,然后按下F2下断,按F9运行到此处.


2.很快来到大跳转,按F8向下走,来到OEP.


方法五:最后一次异常法:


第一步:用OD打开程序,点击选项——调试选项——异常,把里面的√全部去掉!CTRL+F2重载下程序.


第二步:接着我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数n.


第三步:重载程序,再按SHIFT+F9,这次按的次数为上次让程序运行时的次数的n-1次.


第四步:此时观察OD的右下角有一个"SE 句柄",这时我们按CTRL+G,输入SE 句柄前的地址!来到这个地址.


第五步:在这里,按F2下断点!然后按SHIFT+F9来到断点处!


第六步:这时候我们已经跳过了所有异常,然后去掉断点,按F8慢慢向下跟踪很快就到达OEP了.

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

powng 发表于 2008-10-25 19:46
```````````````````````````````````````````````````````````
powng 发表于 2008-10-25 19:49
``````````````````````````````````````````````````````````` [s:17][s:17][s:17][s:17][s:17]
cxp521 发表于 2008-10-25 19:59
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-15 01:16

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表