首页
社区
课程
招聘
[旧帖] [讨论]脱壳,找到OEP后,跳转乱码,求解决 0.00雪花
发表于: 2012-5-14 19:08 1537

[旧帖] [讨论]脱壳,找到OEP后,跳转乱码,求解决 0.00雪花

2012-5-14 19:08
1537
壳信息:ASPack 2.12 -> Alexey Solodovnikov
因为是第一次脱壳,就找了一个入门的。
手动脱。之前看了一些文章,都没有出现乱码的情况啊。到下面这步后就成功了啊。

004053F5    B8 D8110000     MOV EAX,11D8                             ; OEP的RVA
004053FA    50              PUSH EAX
004053FB    0385 7D040000   ADD EAX,DWORD PTR SS:[EBP+47D]           ; OEP
00405401    59              POP ECX
00405402    0BC9            OR ECX,ECX
00405404    8985 03040000   MOV DWORD PTR SS:[EBP+403],EAX
0040540A    61              POPAD
0040540B    75 08           JNZ SHORT 00405415
0040540D    B8 01000000     MOV EAX,1
00405412    C2 0C00         RETN 0C
00405415    68 00000000     PUSH 0
0040541A    C3              RETN                                     ; bingo!

F8一下,跳转到:

004011D8
      68            DB 68                                    ;  (Initial CPU selection)
004011D9      D0            DB D0
004011DA      16            DB 16
004011DB      40            DB 40                                    ;  CHAR '@'
004011DC      00            DB 00
……
004011E8      30            DB 30                                    ;  CHAR '0'
004011E9      00            DB 00
004011EA      00            DB 00
004011EB      00            DB 00
004011EC      38            DB 38                                    ;  CHAR '8'
004011ED      00            DB 00

ctrl+A 一下,还是乱码:

004011D8      68            DB 68                                    ;  (Initial CPU selection)
004011D9      D0164000      DD UnPackMe.004016D0
004011DD      E8            DB E8
……
004011E8      30            DB 30                                    ;  CHAR '0'
004011E9      00            DB 00
004011EA      00            DB 00
004011EB      00            DB 00
004011EC      38            DB 38                                    ;  CHAR '8'

右键,分析,去除分析之后:

004011D2  - FF25 88104000   JMP DWORD PTR DS:[401088]                ; msvbvm60.ThunRTMain
004011D8    68 D0164000     PUSH 004016D0                            ; (Initial CPU selection)
004011DD    E8 F0FFFFFF     CALL 004011D2                            ; JMP to msvbvm60.ThunRTMain
004011E2    0000            ADD BYTE PTR DS:[EAX],AL
……
004011F0    0000            ADD BYTE PTR DS:[EAX],AL
004011F2    0000            ADD BYTE PTR DS:[EAX],AL
004011F4    DD              ???                                      ; Unknown command

都不知道跳到什么地方去了~~
各位有没有碰到过这种情况的?求帮助啊!!!
我用了三个论坛的OD,都是这样子,应该不是OD的原因。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

上传的附件:
收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 206
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
004011D8    68 D0164000  push UnPackMe.004016D0
004011DD    E8 F0FFFFFF  call UnPackMe.004011D2                      ; jmp 到 msvbvm60.ThunRTMain
004011E2    0000         add byte ptr ds:[eax],al
004011E4    0000         add byte ptr ds:[eax],al
004011E6    0000         add byte ptr ds:[eax],al
004011E8    3000         xor byte ptr ds:[eax],al
004011EA    0000         add byte ptr ds:[eax],al
004011EC    3800         cmp byte ptr ds:[eax],al
004011EE    0000         add byte ptr ds:[eax],al
004011F0    0000         add byte ptr ds:[eax],al
004011F2    0000         add byte ptr ds:[eax],al
004011F4    DD           ???                                         ; 未知命令
004011F5    081B         or byte ptr ds:[ebx],bl
004011F7    78 17        js short UnPackMe.00401210
004011F9    F5           cmc
004011FA    3F           aas
004011FB    42           inc edx
004011FC    98           cwde
004011FD    1C 46        sbb al,46
004011FF    8380 3457870>add dword ptr ds:[eax+875734],0
00401206    0000         add byte ptr ds:[eax],al
00401208    0000         add byte ptr ds:[eax],al

004011D8    这不就是oep么 直接用od的插件dump出来就脱壳了啊
2012-5-14 19:20
0
雪    币: 14
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
我也是到这边的啊,可是很明显OEP下面一句就跳转到其他地方去了,而且这个开头看着也不想程序头啊~~~我在这个点dump,然后Import RE重做,最后壳显示脱掉了,但是OD加载dump后程序无法运行了~~~~不晓得你那边测出来什么情况??
2012-5-15 09:13
0
雪    币: 206
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
vb程序不就是那个入口么 你到了oep继续往下干嘛...
程序跑到004011D8    就是oep 然后去除分析 在用od的dump插件脱壳保存
就脱壳了啊  运行程序正常可用 peid查壳显示vb5/6
你到004011D8    就dump试试
2012-5-15 10:01
0
游客
登录 | 注册 方可回帖
返回
//