The004. 初探脱壳，UPX压缩壳

chuiyan121 · 发表于 2022-1-12 16:41

关于脱壳的记录，已有前浪小菜鸟大牛教科书式帖文了，我就按照自己的习惯记录下来，如有疑问欢迎交流指正。^_^

1、PEiD查壳，UPX 0.89.6 - 1.02 / 1.05 - 2.90 -> Markus & Laszlo

2、OD载入，ESP定律法下硬件断点，Shift+F9，取消硬件断点，F8一次，到达OEP。

3、LordPE修正镜像大小，完整转存，ImportREC修复，查寻无壳，程序可运行，脱壳完成。

ximo大牛的几种方法：单步跟踪、ESP定律法、2次内存镜像法、一步直达法都试过了，感觉ESP定律法比较方便实用。

另外有个小提醒如下图（图片来自吾爱论坛@zzz1314同学），应该也有人碰到过：

OD载入程序后提示系统启动断点，然后在OD设置里到处找，并没有设置断点。
后经网络查询，原因是我们在虚拟机进行调试操作时，被试程序不在虚拟机内（在远程主机或共享文件里），导致调试时停留在系统领空，所以大家养成好的习惯，每次调试时将被试程序放在虚拟机内即可。

bestwars · 发表于 2022-1-13 14:49

学习一个了感谢分享~

kuagnkuangkuang · 发表于 2022-1-13 16:19

学习了。。。。。。。。。。感谢

icerayer · 发表于 2022-1-25 01:43

前来学习，感谢分享

zyz37519 · 发表于 2022-4-11 11:54

额，作为初学的菜鸟，除了第一步看懂了，第二第三一脸懵逼，专业术语太强了，看不懂

chuiyan121 · 发表于 2022-4-11 21:14

zyz37519 发表于 2022-4-11 11:54
额，作为初学的菜鸟，除了第一步看懂了，第二第三一脸懵逼，专业术语太强了，看不懂

光看这个当然懵逼了，去爱盘找ximo大牛的视频看看

帐号		自动登录	找回密码
密码			注册[Register]

[讨论] The004. 初探脱壳，UPX压缩壳