菜鸟起步三手脱NSPACK（北斗）

658 · 发表于 2011-1-24 19:43

本帖最后由 658 于 2011-1-24 20:45 编辑

先提个问题纠结了好几天了
找到OEP入口后 F8单步之后出现了……

无奈。。。。脱壳的时候好几程序都出现这样的情况我蛋疼了……

基础脱壳教程3：手脱NSPACK（北斗）
工具：PEID OD
原教程下载地址：http://www.rayfile.com/zh-cn/files/31265505-320e-11de-be73-0019d11a795f/
nSPack 1.3 -> North Star/Liu Xing Ping http://dl.dbank.com/c0lo4smi8u
QQ个性网名昵称查看器1.3

进入后pushfd pushad （对应popfd pushad）

F8单步到call
ESP突变 ESP定律法

在寄存器窗口右击ESP 在数据窗口跟随

数据窗口右击断点设置硬件断点 word/Dword 运行调试选项硬件断点(H) 删除

popad
popfd（出寨）
地址 0043257A 跳到 004012D4 大跨度跳转找到 OEP

继续F8 到达OEP 脱壳（OD插件 LoadEP）

基址00400000

距离头比较近的CALL F7跟进

内存中没有.rsrc 根据PE知识点 PE是从上向下解压直接在00401000下断 F2

F9 出现OEP 接着脱壳

取巧 NSPACK<3.0
直接下断点at GetVersion（得到版本号）回车在retn出下断点 F2运行F2 向上在retn下面看到OEP

NsPacK V3.7 -> LiuXingPing *
Peid

什么也没发现 EP区段 nsp 直接OD载入分析

zone0826 · 发表于 2011-1-25 14:29

没错啊。这个跟你那个ASPACK是一样的，

到这里就是OEP，右键->分析->从模块中删除分析就行了，

658 · 发表于 2011-1-25 16:41

回复 zone0826 的帖子

嗯谢谢呀可以啦

妖精的旋律 · 发表于 2011-1-25 17:57

出现这种？

右键分析代码就可以了。。。

love888 · 发表于 2011-1-25 18:27

提示: 作者被禁止或删除内容自动屏蔽

damgda · 发表于 2011-1-25 22:50

分析错了，重新分析下代码即可

y123456789 · 发表于 2011-1-25 23:55

非常不错的脱壳教程

轮回v · 发表于 2012-7-11 20:21

不错感谢楼主分享

876011234 · 发表于 2012-7-11 23:04

谢谢

hnhbtj · 发表于 2012-7-12 11:12

非常不错

帐号		自动登录	找回密码
密码			注册[Register]

love888 love888 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	love888 发表于 2011-1-25 18:27 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[原创] 菜鸟起步三 手脱NSPACK（北斗）

[原创] 菜鸟起步三手脱NSPACK（北斗）