破解入门（六）-----实战“内存镜像法”脱壳

涛之雨 · 发表于 2018-7-28 16:33

本帖最后由涛之雨于 2018-7-28 21:25 编辑

上一篇：传送门

破解入门（五）-----实战"ESP定律法"脱壳

《《《《《《《《《《《《《《《《《《《《《《《《《《《原文开始》》》》》》》》》》》》》》》》》》》》》》》》》》》

内存镜像法的步骤

（1）用OD打开软件
（2）点击选项——调试选项——异常，把里面的忽略全部√上。CTRL+F2重载下程序
（3）按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点，接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的代码段.text（或者CODE）（也就是00401000处），按F2下断点。然后按SHIFT+F9（或者是在没异常情况下按F9），直接到达程序OEP

实战1

查壳
用PEID查壳的结果如下图，可以看出程序加了ASPack2.12的壳

2 寻找OEP

(1)用OD载入该程序

（2）依次选择OD选项（T）下的调试设置（D）子选择，弹出如下对话框，切到异常选项卡，将忽略下的子项全部勾上

（3）Ctrl + F2重新载入要脱壳的程序，Alt + M打开内存镜像，找到程序的第一个.rsrc.按 F2下断点，按下F9运行程序

（3）再按ALT+M,打开内存镜象，找到程序的第一个代码段.rsrc.上面的.text，按F2下断点，按下F9运行程序

（3）直接到达OEP

注：有时候在给软件脱壳，千心万苦找到了OEP，却发现不是常见的“push ebp”，而是出现如下图这种情况，其实这是OD将这段代码当做数据了没有进行反汇编识别，解决方法是，选中一行右键选择“分析”菜单，选择“分析”下的“分析代码”，OEP就会出现在眼前了

3 脱壳

可以使用OD自带插件，也可以用LordPE，方法和前面"单步跟踪法"中使用方法一样

4 修复

可以使用ImportFix，方法和前面"单步跟踪法"中使用方法一样

文中用到的加壳程序下载地址：http://download.csdn.net/detail/qiurisuixiang/4363770

《《《《《《《《《《《《《《《《《《《《《《《《《《《原文结束》》》》》》》》》》》》》》》》》》》》》》》》》》》

ps：原地址：https://blog.csdn.net/qiurisuixiang/article/details/7660448

下一篇：

破解入门（七）-----牛刀小试之暴力破解

涛之雨 · 发表于 2018-7-28 22:09

多幸运遇见baby 发表于 2018-7-28 21:26
不解释下原理，没有新东西。。。有必要反复发么。。

有“反复”发么。。
我看论坛里没有啊
我倒是想解释，但是他写的很详细啊。。。
而且我也是小白。。。

Darren-Wu · 发表于 2018-7-28 17:56

来占个楼，看下能不能学习学习下

皓月苍穹之星 · 发表于 2018-7-28 18:14

不解释下原理，没有新东西。。。有必要反复发么。。

hhk16 · 发表于 2018-7-28 18:15

顶一个！

Joduska · 发表于 2018-7-28 18:27

可用性比较低，

XKtimely · 发表于 2018-7-28 18:58

里经历了

heshu · 发表于 2018-7-28 19:01

学习学习，赞一个

XKtimely · 发表于 2018-7-28 19:02

抓紧哦见

海燕姓王why · 发表于 2018-7-28 19:17

谢谢你，学到了

yaobao78 · 发表于 2018-7-28 20:05

感谢分享

帐号		自动登录	找回密码
密码			注册[Register]

[转贴] 破解入门（六）-----实战“内存镜像法”脱壳

免费评分