脱壳的基本方法【大手绕,盆子绕】

laoxing

脱壳必需牢记的要领
1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按F4,运行到所选.0 E2 B( D) P7 l! n
2.刚载入程序,在附近就call时,我们按F7跟进去.
3.若跟踪时,运行某个call程序就运行时,这个call也用F7进入.) Y+ \5 M2 a6 R) Q4 b6 Z& I. ?
4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN同时发生大跨段跳转时,说明很快就到OEP了.

常用脱壳方法总结; U! D& B) p( p  t2 q3 R
------------------
方法一:单步跟踪法
------------------( \7 D/ J, F, s
介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟踪分析,要有一定的耐心.5 Q8 a9 Y/ |5 z0 c9 y7 H+ N
1.用OD载入,选"不分析代码"4 T" U& C9 H( @6 p  b4 D
2.单步向下跟踪按F8，实现向下的跳.不让程序往回跳.  T. k. g$ E4 J
3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）' _' ~& P3 u9 H# z
4.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易运行.4 e7 }6 j# \. V
5.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入.
6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。
2 y5 B* ^- Z3 A1 }( H( f
-----------------$ I, _% u' b3 e( D6 g
方法二:ESP定律法
-----------------0 y6 f: k4 A. P8 L3 {0 C
介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快.5 Z- F* [$ t2 a% g
1.开始就点F8向下走，注意观察OD右上角的寄存器中ESP有没突现（变成红色）& t7 i( F2 h: Y  C
2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者hr$ M$ x' ]' D+ m) K
XXXXXXXX)，按回车！' Q2 N6 E6 n9 X: w4 O9 Q; T
3.选中下断的地址，断点--->硬件访--->WORD断点。  E! R3 S: U9 p5 k4 h3 ^( b
4.按一下F9运行程序，直接来到了跳转处，按下F8向下走，就到达程序OEP。( F& P9 B$ H* f0 a: w! h
-----------------; X3 d7 L$ c/ ]& l- i$ [% d
方法三:内存镜像法
-----------------
介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用.
1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序！1 f" t3 P/ r3 X, |% I
2.按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点.
3.接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE，按F2下断点！然后按SHIFT+F9，直接到达程序OEP！$ S  M7 M' w! Z, {9 Q) B( f) C+ a
----------------
方法四:一步到OEP+ k3 F/ H) Z- W2 e( F8 c- {: I
----------------! R$ o5 ]" M- b7 {" n+ ~! x
介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳.
1.开始按Ctrl+F,输入：popad,然后按下F2下断，按F9运行到此处.# Z; g6 M0 A9 t% Z0 L% a: L
2.很快来到大跳转,按F8向下走,来到OEP

给点阳光yh

好厉害的样子

520Kelly

复制出了乱码

beini2014

出个视频教程啊！

tongjin73

是的，复制出来乱码了

asd2702539

是的，复制出来乱码了

tianlangxing866

好多乱码，以前在哪里见过

beta

顶一个。。。。

cdweng

眼都看花了楼主请重新编辑一下

tail88

感谢分享啊。