首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]这个怎么脱壳？求详图！
发表于: 2011-8-24 16:04 6390

[求助]这个怎么脱壳？求详图！

pc小波 活跃值
1
2011-8-24 16:04
6390
这个我怎么老是找不到OEP啊，求各位帮帮忙，顺便列个详细过程图，谢谢！

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (14)
幻影火
雪    币： 416
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
FSG的殼，算是壓縮殼。

OEP在這裡 004001D1     FF63 0C             jmp dword ptr ds:[ebx+C]

這個call ，fsg通常都是找跨段的jmp。至少我都是這樣做。
2011-8-24 16:13
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
3 楼
[QUOTE=幻影火;994081]FSG的殼，算是壓縮殼。

OEP在這裡 004001D1     FF63 0C             jmp dword ptr ds:[ebx+C]

這個call ，fsg通常都是找跨段的jmp。至少我都是這樣做。[/QUOTE]

这是OEP原始入口点？？？
2011-8-24 16:51
0
孟贤
雪    币： 414
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
004001CD ^\78 F3 js short 绘图3.004001C2
004001CF 75 03 jnz short 绘图3.004001D4
004001D1 FF63 0C jmp dword ptr ds:[ebx+C]//这里下段，F9运行
004001D4 50 push eax


然后单步一下就来到OEP;
可能你的OD是乱码；换个OD试试效果；
最后一步必须修复一下IAT;
2011-8-24 17:08
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
5 楼
为什么在这里下断啊？
2011-8-24 19:10
0
幻影火
雪    币： 416
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
基本上是經驗，fsg類似的殼都是差不多類似的方法跳到OEP。
2011-8-24 19:12
0
topcookie
雪    币： 161
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
有脱壳机和脚本脱很容易
2011-8-24 19:31
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
8 楼
那样脱有啥意思啊！
2011-8-24 19:35
0
孟贤
雪    币： 414
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
因为环绕这个jmp左右的一个循环；
而且这个循环频繁调用LoadLibrary和GetProAddress这两个函数；显然是在解密IAT;
循环最后一步就是到这个jmp；
所以这个jmp就是跳到接近OEP的地方；
2011-8-24 19:35
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
10 楼
7C801D7D    55              push ebp
7C801D7E    8BEC            mov ebp,esp
7C801D80    837D 08 00      cmp dword ptr ss:[ebp+8],0
7C801D84    53              push ebx
7C801D85    56              push esi
7C801D86    74 14           je short kernel32.7C801D9C
7C801D88    68 60E1807C     push kernel32.7C80E160                   ; ASCII "twain_32.dll"
7C801D8D    FF75 08         push dword ptr ss:[ebp+8]
7C801D90    FF15 AC13807C   call dword ptr ds:[<&ntdll._strcmpi>]    ; ntdll._stricmp
7C801D96    85C0            test eax,eax
7C801D98    59              pop ecx
7C801D99    59              pop ecx

第一行是不是程序入口点啊？
2011-8-24 20:29
0
孟贤
雪    币： 414
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
不是，你多跟了几步；
这里已经到系统领空了；
其实那个jmp跳过去就是入口点；
明显上面是vb得ThunMainxx;
2011-8-24 21:16
0
幻影火
雪    币： 416
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
樓主，建議你先去記常見compiler的開頭。
2011-8-24 21:54
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
13 楼
再次感谢。原来我有这么几点问题：
1.单步跟踪方法木有掌握；
2.OEP的判断木有掌握
2011-8-24 22:12
0
pc小波
雪    币： 118
活跃值： (106)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
14 楼
嗯。谢谢！
2011-8-24 22:13
0
ybhdgggset
雪    币： 959
活跃值： (66)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
OD是乱码时，从模块中删除分析即可
2011-8-24 22:48
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//