[求助]求助upx壳怎么脱-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

[求助]求助upx壳怎么脱

发表于: 2012-6-6 11:47 10389

[求助]求助upx壳怎么脱

后恋

活跃值

2

2012-6-6 11:47

10389

如下一个文件。手脱如何脱。oep很容易就能找到。但是转存后无法修复输入表，程序无法运行。

OD载入程序后直接下拉就能找到入口OEP

然后如果用OD的插件转存程序，会提示错误。用lordpe转存后，不能运行
用importrec进行iat的修复，也发现无法完成修复，因为oep的基址不是0x00400000

求问办法，应该很好脱，就是不知道那一步有个什么技巧

请传授方法。谢谢

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：

psiphon3.rar （779.64kb，50次下载）

收藏・1

免费・0

支持

分享

最新回复 (16)
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 2 楼顶起来啊。。。。。。。。。。。 2012-6-6 11:56 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 3 楼怎么都没人看啊啊。。。。。 2012-6-6 13:18 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 4 楼终于有人下载了，请问有办法脱掉吗???? 2012-6-6 15:38 0
我就是wo 雪币： 34 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 92 粉丝 0 关注私信	我就是wo 5 楼求脱? psiphon3 .rar 上传的附件： psiphon3 .rar （734.64kb，22次下载） 2012-6-6 16:03 0
老伙计雪币： 807 活跃值： (2273) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 606 粉丝 11 关注私信	老伙计 6 楼你这是求助，首先应该把你的分析、判断和具体做法贴出来，别人才能“对症下药”，帮助你很快找出认识或做法上存在的误区。难道你想让别人给你专门写个完整的教程？不现实的想法，人家又不欠你的，你想偷懒，别人肯定比你还懒！ 2012-6-6 16:05 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 7 楼 [QUOTE=我就是wo;1078086]求脱? psiphon3 .rar[/QUOTE] 不是球脱。转存后无法修复输入表，程序无法运行。我觉得是转存后基址不是0x0040000.所以我用importrec无法修复。不知道怎么整理的。能说下修复和转存这怎么操作的吗？ 2012-6-6 16:12 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 8 楼好吧 OD载入程序后直接下拉就能找到入口OEP 然后如果用OD的插件转存程序，会提示错误。用lordpe转存后，不能运行用importrec进行iat的修复，也发现无法完成修复，因为oep的基址不是0x00400000 求问办法，应该很好脱，就是不知道那一步有个什么技巧 2012-6-6 16:15 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 9 楼 [QUOTE=我就是wo;1078086]求脱? psiphon3 .rar[/QUOTE] 你脱的很好啊。请问用什么办法啊？我不会的就是见我回复老伙计的那里 2012-6-6 16:18 0
king少雪币： 5 活跃值： (374) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 189 粉丝 0 关注私信	king少 10 楼直接下拉找到OEP 然后你转存程序 —————————————————— dump是一个把内存镜像转存成硬盘文件的过程。你dump的是带壳的内存镜像吧！你应该在你认为是真正OEP的地方F2下断，然后F9跑到那里之后开始dump。 F9之后跑到你下断点的这个过程是个解压过程。 2012-6-6 16:20 0
后恋雪币： 72 活跃值： (60) 能力值： ( LV7，RANK：100 ) 在线值：发帖 12 回帖 95 粉丝 0 关注私信	后恋 2 11 楼是的，我就是这么操作的。我怀疑的问题就是基址重定位。我在xp下也试了也不是0x00400000的基址。所以不知道如何修复IAT。或者很好的转存吧。 2012-6-6 16:22 0
king少雪币： 5 活跃值： (374) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 189 粉丝 0 关注私信	king少 12 楼建议把UPX源码找一份看下。或者，自己仔细单步跟踪UPX的整个过程，非常清楚之后，只要不是VMP的壳你都能脱。 2012-6-6 16:22 0
hcg 雪币： 350 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 145 粉丝 0 关注私信	hcg 13 楼到达 OEP 后 ctrl + M 查看当前映像基址 OPE 地址减去当前映像基址 = OEO 相对地址 ImportREC 取消 Use PE Header From Disk 选项 2012-6-6 17:01 0
青城往事雪币： 12 活跃值： (142) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 117 粉丝 0 关注私信	青城往事 14 楼 dumped_.rar OD载入停在 005F7C00 > 60 pushad 005F7C01 BE 00605300 mov esi, 00536000 005F7C06 8DBE 00B0ECFF lea edi, dword ptr [esi-0x135000] 005F7C0C 57 push edi 005F7C0D 83CD FF or ebp, -0x1 005F7C10 EB 10 jmp short 005F7C22 单步F7 ESP高亮esp=0012FFA4 follow in dump 对数据下硬件访问断点dword 然后F9一次中断在 005F7DD8 8D4424 80 lea eax, dword ptr [esp-0x80] 005F7DDC 6A 00 push 0x0 005F7DDE 39C4 cmp esp, eax 005F7DE0 ^ 75 FA jnz short 005F7DDC 005F7DE2 83EC 80 sub esp, -0x80 005F7DE5 - E9 9887E6FF jmp 00460582 处在005F7DE2 83EC 80 sub esp, -0x80处两次F4 然后跟进 005F7DE5 - E9 9887E6FF jmp 00460582 到达OEP 00460582 E8 DCAD0000 call 0046B363 00460587 ^ E9 89FEFFFF jmp 00460415 0046058C 8BFF mov edi, edi 0046058E 55 push ebp 0046058F 8BEC mov ebp, esp 00460591 51 push ecx 00460592 8365 FC 00 and dword ptr [ebp-0x4], 0x0 00460596 53 push ebx 00460597 8B5D 10 mov ebx, dword ptr [ebp+0x10] 0046059A 85DB test ebx, ebx 0046059C 75 07 jnz short 004605A5 然后打开LOAD PE 选择进程---就是你调试的东东右键修正一下镜像大小，然后完整转存然后打开IMPORT REC 选择进程填入OEP 00060582 选择GET IMPORTS CUT掉无效的---貌似这个壳没有无效的然后直接FIX DUMP 目标文件就是用LOAD PE抓出来的那个虚拟机里是可以运行的，不过这个程序不兼容64位的系统，所以我无法在真机里看一下。脱好的壳已经上传上传的附件： dumped_.rar （735.00kb，26次下载） 2012-6-7 03:41 0
青城往事雪币： 12 活跃值： (142) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 117 粉丝 0 关注私信	青城往事 15 楼百度一下ESP定律吧这个，脱壳不是你想的那么简单的，知道OEP的地址下个F2 然后F9就行了那按你这么做，我是不是只要记录常见语言的OEP特征，直接搜特征码来定位呢，LZ图样 2012-6-7 03:43 0
liyizhu 雪币： 57 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 206 粉丝 0 关注私信	liyizhu 16 楼 UPX是压缩壳手脱也不是很难桉14楼的朋友做你就能脱。脱壳不是简单的过程多看看教程和资料你能行的、、、、、、 2012-6-7 07:49 0
laohai 雪币： 211 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 284 粉丝 0 关注私信	laohai 17 楼我用ESP定律OD脱壳后运行正常啊。 2012-6-10 01:54 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

后恋

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

//