首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [讨论]脱壳，找到OEP后，跳转乱码，求解决 0.00雪花
发表于: 2012-5-14 19:08 1503

[旧帖] [讨论]脱壳，找到OEP后，跳转乱码，求解决 0.00雪花

Charlesccz 活跃值
2012-5-14 19:08
1503
壳信息：ASPack 2.12 -> Alexey Solodovnikov
因为是第一次脱壳，就找了一个入门的。
手动脱。之前看了一些文章，都没有出现乱码的情况啊。到下面这步后就成功了啊。

004053F5    B8 D8110000     MOV EAX,11D8                             ; OEP的RVA
004053FA    50              PUSH EAX
004053FB    0385 7D040000   ADD EAX,DWORD PTR SS:[EBP+47D]           ; OEP
00405401    59              POP ECX
00405402    0BC9            OR ECX,ECX
00405404    8985 03040000   MOV DWORD PTR SS:[EBP+403],EAX
0040540A    61              POPAD
0040540B    75 08           JNZ SHORT 00405415
0040540D    B8 01000000     MOV EAX,1
00405412    C2 0C00         RETN 0C
00405415    68 00000000     PUSH 0
0040541A    C3              RETN                                     ; bingo!

F8一下，跳转到：

004011D8      68            DB 68                                    ;  (Initial CPU selection)
004011D9      D0            DB D0
004011DA      16            DB 16
004011DB      40            DB 40                                    ;  CHAR '@'
004011DC      00            DB 00
……
004011E8      30            DB 30                                    ;  CHAR '0'
004011E9      00            DB 00
004011EA      00            DB 00
004011EB      00            DB 00
004011EC      38            DB 38                                    ;  CHAR '8'
004011ED      00            DB 00

ctrl+A 一下，还是乱码：

004011D8      68            DB 68                                    ;  (Initial CPU selection)
004011D9      D0164000      DD UnPackMe.004016D0
004011DD      E8            DB E8
……
004011E8      30            DB 30                                    ;  CHAR '0'
004011E9      00            DB 00
004011EA      00            DB 00
004011EB      00            DB 00
004011EC      38            DB 38                                    ;  CHAR '8'

右键，分析，去除分析之后：

004011D2  - FF25 88104000   JMP DWORD PTR DS:[401088]                ; msvbvm60.ThunRTMain
004011D8    68 D0164000     PUSH 004016D0                            ; (Initial CPU selection)
004011DD    E8 F0FFFFFF     CALL 004011D2                            ; JMP to msvbvm60.ThunRTMain
004011E2    0000            ADD BYTE PTR DS:[EAX],AL
……
004011F0    0000            ADD BYTE PTR DS:[EAX],AL
004011F2    0000            ADD BYTE PTR DS:[EAX],AL
004011F4    DD              ???                                      ; Unknown command

都不知道跳到什么地方去了~~
各位有没有碰到过这种情况的？求帮助啊！！！
我用了三个论坛的OD，都是这样子，应该不是OD的原因。

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (3)
luzechao
雪    币： 206
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
004011D8    68 D0164000  push UnPackMe.004016D0
004011DD    E8 F0FFFFFF  call UnPackMe.004011D2                      ; jmp 到 msvbvm60.ThunRTMain
004011E2    0000         add byte ptr ds:[eax],al
004011E4    0000         add byte ptr ds:[eax],al
004011E6    0000         add byte ptr ds:[eax],al
004011E8    3000         xor byte ptr ds:[eax],al
004011EA    0000         add byte ptr ds:[eax],al
004011EC    3800         cmp byte ptr ds:[eax],al
004011EE    0000         add byte ptr ds:[eax],al
004011F0    0000         add byte ptr ds:[eax],al
004011F2    0000         add byte ptr ds:[eax],al
004011F4    DD           ???                                         ; 未知命令
004011F5    081B         or byte ptr ds:[ebx],bl
004011F7    78 17        js short UnPackMe.00401210
004011F9    F5           cmc
004011FA    3F           aas
004011FB    42           inc edx
004011FC    98           cwde
004011FD    1C 46        sbb al,46
004011FF    8380 3457870>add dword ptr ds:[eax+875734],0
00401206    0000         add byte ptr ds:[eax],al
00401208    0000         add byte ptr ds:[eax],al

004011D8    这不就是oep么 直接用od的插件dump出来就脱壳了啊
2012-5-14 19:20
0
Charlesccz
雪    币： 14
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
我也是到这边的啊，可是很明显OEP下面一句就跳转到其他地方去了，而且这个开头看着也不想程序头啊~~~我在这个点dump，然后Import RE重做，最后壳显示脱掉了，但是OD加载dump后程序无法运行了~~~~不晓得你那边测出来什么情况？？
2012-5-15 09:13
0
luzechao
雪    币： 206
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
vb程序不就是那个入口么 你到了oep继续往下干嘛...
程序跑到004011D8    就是oep 然后去除分析 在用od的dump插件脱壳保存
就脱壳了啊  运行程序正常可用 peid查壳显示vb5/6
你到004011D8    就dump试试
2012-5-15 10:01
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//