吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 20288|回复: 54
收起左侧

[转贴] 破解入门(四)-----实战"单步跟踪法"脱壳

  [复制链接]
涛之雨 发表于 2018-7-28 14:11
本帖最后由 涛之雨 于 2018-7-28 14:35 编辑

上一篇:传送门



《《《《《《《《《《《《《《《《《《《《《《《《《《《原文开始》》》》》》》》》》》》》》》》》》》》》》》》》》》

背景

破解的第一步是判断所要破解的程序是否加壳了,如果程序加壳了,需要将壳脱掉再来破解,所以脱壳是破解的第一步

单步跟踪法的步骤
1)用OD载入,点“不分析代码”
2单步向下跟踪F8,实现向下的跳。也就是说向上的跳不让其实现(通过F4
3)遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——>运行到所选)
4)绿色线条表示跳转没实现,不用理会,红色线条表示跳转已经实现
5)如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易跑  飞,这样很快就能到程序的OEP
6)在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALLF7进入
7)一般有很大的跳转(大跨段),比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN  的一般很快就会到程序的OEP

注:在有些壳无法向下跟踪的时候,我们可以在附近找到没有实现的大跳转,右键-->“跟随”,然后F2下断,Shift+F9运行停在“跟随”的位置,再取消断点,继续F8单步跟踪。一般情况下可以轻松到达OEP


实战1


查壳

PEID等查壳工具查看所需要破解的程序是否加壳了,加的什么壳。


PEID的工作原理大家看看PEID目录下的userdb.txt文件就知道了,PEID通过壳的入口特征码进行辨认程序是加了什么壳PEID查壳的结果如下图,可以看出程序加了ASPack2.12的壳





2 寻找OEP


(1)用OD载入该程序






(2)使用F8单步补过,在靠近入口处的第一个call(call 0040D00A)使用F7单步步入,  在call子程序中使用F8单步补过,没有发现有用的信息,在靠近入口的第二个call(call   0040D014使用F7单步步入,否则程序会跑飞,下图是刚进入第二个call处的截图



(3)根据"单步跟踪法"中的原则,一步一步调试,遇到向上跳转,则将鼠标点到该跳转的下一行,然后F4运行到这一行(如果让程序向上跳转,则可能程序往反方向跳转,无休无止,也就找不到OEP),向下跳转则不用处理,需要注意的是绿色线条表示跳转没实现,不用理会,红色线条表示跳转已经实现,在下面的注释窗口会有该提示,下图就是一个没有实现的跳转



(4)按照步骤(3)中的方式执行很快就会看到下图现象,出现了popad这条指令,然后  push 004010CC,将004010CC这个地址入栈,后面紧跟着一个retn,程序就会返回到  004010CC这个地址继续执行程序,004010CC与当前地址0040D3BF之间有个很大的跳转,由此可以判断马上将到达程序的OEP,



(5)在retn上在按下F8单步步过即可到达OEP(OEP地址004010CC)




3 脱壳(Dump)



(1)在OEP(OEP地址004010CC)处使用OD插件脱壳,在004010CC上点击鼠标右键,  选择该菜单下的Dump debugged process,会弹出如下对话框,从下图最底Rebuild   Import选项下可以看出该插件提供了两种脱壳方式





(2)分别用Method1和Method2脱壳,点击Dump按钮然后选择文件的保存位置即可脱壳




(3)当然也可以用LordPE来脱壳,选中要脱壳的进程notepad.exe,因为使用OD加载的时候已经启动该进程





(4)在该进程上右键,选择该菜单下的修正镜像大小,结果如下图



(5)在该进程上右键,选择该菜单下的完整转存(也有的翻译是完全脱壳),会弹出文件保  存位置对话框,填好文件名称后保存即可,成功后会弹出如下对话框



(6)再次用PEID检测unpack1.exeunpack2.exeunpack3.exe,会发现程序已经是无壳的




(7)分别打开已经脱壳完成的unpack1.exe、unpack2.exe、unpack3.exe,会发现unpack3.exe运行后出现如下错误,则在该种情况下需要修复资源




4 修复

(1)使用到的修复工具是ImportFix,打开ImportFix,打开notepad.exe这个进程,因为用OD载入加壳程序notepad.exe后,会产生notepad.exe这个进程(此时需要OD中将程序调试运行到OEP处,即004010CC处,否则在下面的自动查找IAT会失败)





(2)将OEP那一栏修改成刚才在OD中找到的OEP地址000010CC,然后点击自动查找  IAT,则RVA和大小这一栏中数据会改变








(3)点击确定后,点击获取输入表按钮,结果如下图,其中找到的输入表函数里面的函数  是程序运行需要的一些系统API




(4)点击显示无效函数后,发现没有,在点击修复转存文件按钮,选择要修复的unpack3.exe  文件




(5)完成后会在记录这一列表框中显示结果,修复后的文件保存名字为unpack3_.exe





文中用到的加壳程序下载地址:http://download.csdn.net/detail/qiurisuixiang/4363770

《《《《《《《《《《《《《《《《《《《《《《《《《《《原文结束》》》》》》》》》》》》》》》》》》》》》》》》》》》




ps:原地址:https://blog.csdn.net/qiurisuixiang/article/details/7649591

下一篇


破解入门(五)-----实战"ESP定律法"脱壳


免费评分

参与人数 7吾爱币 +7 热心值 +6 收起 理由
yiyi2016 + 1 + 1 谢谢@Thanks!
sunnylds7 + 1 + 1 热心回复!
终结天蝎 + 1 + 1 用心讨论,共获提升!
微软程序员 + 1 我很赞同!
森眸暖光 + 1 + 1 用心讨论,共获提升!
心里乐开花 + 1 + 1 用心讨论,共获提升!
茫侠 + 1 + 1 讲解的很厉害

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| 涛之雨 发表于 2019-2-11 19:17
Cremale 发表于 2019-2-11 18:50
楼主图加载不出来啊 望重新上传一下 谢谢!

不知道怎么回事,编辑不了,
点开编辑模式,图片全都没了,
上传总是error:IO错误
然后csdn的原链接也失效了
https://www.tuicool.com/articles/Z3ea22
这个貌似还可以看。。
 楼主| 涛之雨 发表于 2018-11-7 11:09
zzcl558 发表于 2018-11-5 01:59
你好!我有一个软件它没有机器码,只要改动资料就要重新输入注册码,你能帮我看看吗?

不好意思,首先我也是新手。。
其次。。。
身边没有电脑,,不方便呢。。。
你可以把分析过程和哪里被卡住了写下来,
发到求助区,会有大神来帮忙的。。。
当然,如果是求破类的。。。
还是算了吧。
 楼主| 涛之雨 发表于 2018-7-28 14:29
茫侠 发表于 2018-7-28 14:25
厉害啊,大佬!终于有个懂的讲解了

不好意思,这个“大佬”担不起
我【暂时】不生产原创帖,我【现在】只是帖子的搬运工
一起学习。。。
至于原创。。。
等我先学好再说吧
谢谢鼓励。
看到好的帖子会继续分享到论坛供大家学习、研究的。
正经学生 发表于 2018-7-28 14:15
感谢楼主哦
Darren-Wu 发表于 2018-7-28 14:20
支持一波,666666
茫侠 发表于 2018-7-28 14:25
厉害啊,大佬!终于有个懂的讲解了
礻申 发表于 2018-7-28 15:22
大哥,收徒不,带带我
 楼主| 涛之雨 发表于 2018-7-28 15:26
礻申 发表于 2018-7-28 15:22
大哥,收徒不,带带我

这。。。
收徒就算了吧。。。
毕竟我也是转贴的。。。
不过大家可以一起讨论。。。
rxxcy 发表于 2018-7-28 16:06
没CSDN积分-.-
linuxprobe 发表于 2018-7-28 16:39
给的学习资料内容太少。
 楼主| 涛之雨 发表于 2018-7-28 16:42

还好,我也没有
等我有积分
会考虑把附件传到论坛上
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-25 00:02

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表