-
-
[求助]DLL要怎么脱壳？脱壳前只有一百K，脱壳后居然变成了5M，不知道是不是弄错了
-
发表于:
2011-8-23 21:04
5453
-
[求助]DLL要怎么脱壳？脱壳前只有一百K，脱壳后居然变成了5M，不知道是不是弄错了
是一个DLL文件来的，原本只有90多K，外面有一层NsPacK V3.7 -> LiuXingPing *这个壳，我用ESP定律脱下来，DUMP后得到的文件是5M多，是不是弄错了？（这个DLL是资源DLL来的）
然后再用PEID看，脱下来的DLL显示为Microsoft Visual C++ v7.1 DLL [Overlay]。MS什么时候有VS7.1的编译器了，不知道是不是伪造的，但PEID已经查不出是什么壳了
脱壳后的DLL入口部分代码如下，大家分析一下这种开头是不是VC7.1的？
10002701 . 6A 0C PUSH 0C
10002703 . 68 E0C10010 PUSH Zongheng.1000C1E0
10002708 . E8 8F040000 CALL Zongheng.10002B9C
1000270D . 33C0 XOR EAX,EAX
1000270F . 40 INC EAX
10002710 . 8945 E4 MOV DWORD PTR SS:[EBP-1C],EAX
10002713 . 8B75 0C MOV ESI,DWORD PTR SS:[EBP+C]
10002716 . 33FF XOR EDI,EDI
10002718 . 3BF7 CMP ESI,EDI
1000271A . 75 0C JNZ SHORT Zongheng.10002728
1000271C . 393D 5C0C0110 CMP DWORD PTR DS:[10010C5C],EDI
10002722 . 0F84 B3000000 JE Zongheng.100027DB
10002728 > 897D FC MOV DWORD PTR SS:[EBP-4],EDI
1000272B . 3BF0 CMP ESI,EAX
1000272D . 74 05 JE SHORT Zongheng.10002734
1000272F . 83FE 02 CMP ESI,2
10002732 . 75 31 JNZ SHORT Zongheng.10002765
10002734 > A1 FC240110 MOV EAX,DWORD PTR DS:[100124FC]
10002739 . 3BC7 CMP EAX,EDI
1000273B . 74 0C JE SHORT Zongheng.10002749
1000273D . FF75 10 PUSH DWORD PTR SS:[EBP+10]
10002740 . 56 PUSH ESI
10002741 . FF75 08 PUSH DWORD PTR SS:[EBP+8]
10002744 . FFD0 CALL EAX
10002746 . 8945 E4 MOV DWORD PTR SS:[EBP-1C],EAX
10002749 > 397D E4 CMP DWORD PTR SS:[EBP-1C],EDI
1000274C . 0F84 85000000 JE Zongheng.100027D7
我用再用OD载入这个DLL的时候，OD提示是加密过的。不是已经脱了壳了么，怎么还是加密过的？大家给点意见啊
[注意]APP应用上架合规检测服务，协助应用顺利上架！
