首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[脱]WinUpack 0.36beta旧头脱壳
发表于: 2005-10-14 15:38 4748

[脱]WinUpack 0.36beta旧头脱壳

peaceclub 活跃值
6
2005-10-14 15:38
4748
工具: PeTools,Lordpe,Ollydbg,imprec
下载: http://bbs.pediy.com/upload/2005/10/files/winupack36.zip
脱壳三步曲(3+X):
1、载入
  反Ollydbg,呵呵。
  解决很简单,把ollydbg设置成即时调试器,然后把壳oep处代码设置成CC.
   方法一: 十六进制编辑WinUpackC.exe,把0x18处的BE改成CC,保存.
   方法二: PeTools的Break & Enter功能
  运行修改后的WinUpackC.exe,然后运行,发生错误,点取消"按钮",Ollydbg载入,报错,不管它,停留在壳OEP,Ctrl+B,把cc改成be.

2、OEP+DUMP
   bp GetProcAddress,Alt+F9,往下找retn,F4到retn处

00419687 FFD1 CALL ECX
00419689 93 XCHG EAX,EBX
0041968A AC LODS BYTE PTR DS:[ESI]
0041968B 84C0 TEST AL,AL
0041968D ^75 FB JNZ SHORT WinUpack.0041968A
0041968F 3806 CMP BYTE PTR DS:[ESI],AL
00419691 ^74 EA JE SHORT WinUpack.0041967D
00419693 8BC6 MOV EAX,ESI
00419695 79 05 JNS SHORT WinUpack.0041969C
00419697 46 INC ESI
00419698 33C0 XOR EAX,EAX
0041969A 66:AD LODS WORD PTR DS:[ESI]
0041969C 50 PUSH EAX
0041969D 53 PUSH EBX
0041969E FFD5 CALL EBP
004196A0 AB STOS DWORD PTR ES:[EDI]
004196A1 ^EB E7 JMP SHORT WinUpack.0041968A
004196A3 C3 RETN **********F4到这里*****
F8一下,就到OEP了.
Ollydump一下,dump到dump.exe中.


3、优化脱壳文件,去垃圾解码代码+Imprec

用ollydbg打开dump.exe,打开Directorys(目录结构),查看资源项rva和size,分别为:
00013000,9d4

OK,关闭lordpe,拿十六进制编辑器,转到 13000+9d4=139d4,把后面的所有代码删除.
imprec上场,修复iat.
Lordpe优化一下,收工.
4、
??
脱壳是完成了,但DOS、PE头部需要重建,哪位指点修补一下吧。

--------------------------------------------------------------
Unpacked:附件:dump_.zip

[课程]Android-CTF解题方法汇总！

收藏
免费 ・0
支持
分享
最新回复 (11)
pendan2001
雪    币： 61
活跃值： (160)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
2 楼
2005-10-14 16:03
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
3 楼
附件:WinUpackC.V0.36.UnPacKed
2005-10-14 17:46
0
dwing
雪    币： 217
活跃值： (99)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
最初由 fly 发布
附件:WinUpackC.V0.36.UnPacKed

厉害,几乎与源文件一样了.
Let life be beautiful like summer flowers and death like autumn leaves
2005-10-14 17:55
0
dwing
雪    币： 217
活跃值： (99)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
5 楼
最初由 peaceclub 发布
工具: PeTools,Lordpe,Ollydbg,imprec
下载: http://bbs.pediy.com/upload/2005/10/files/winupack36.zip
脱壳三步曲(3+X):
1、载入
反Ollydbg,呵呵。
........


对于Upack 0.36,反反OD的简单方法:
载入后报错,不用理会.
BP 401018
F9
这样就停在入口了.
2005-10-14 18:00
0
爱一个人好难
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
简单啊！！！！！！！！！
2005-10-15 19:10
0
liuyilin
雪    币： 303
活跃值： (461)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
没辙么复杂吧？
附件:dump.rar
2005-10-15 20:22
0
linestyle
雪    币： 217
活跃值： (15)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
8 楼
顶一下，呵呵
2005-10-16 21:23
0
心已欠费
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
我在学习，看一下哎，能不能用
2005-10-17 12:03
0
damen
雪    币： 227
活跃值： (164)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
最初由 fly 发布
附件:WinUpackC.V0.36.UnPacKed


修复到这种程度

nb
2005-11-8 13:27
0
loveboom
雪    币： 513
活跃值： (2258)
能力值： ( LV9，RANK：2130 )
在线值：
发帖
回帖
粉丝
私信
11 楼
Dwing是搞什么的?N多传奇木马用你的壳......
bs木马传播和制造者
2005-11-8 14:04
0
爱一个人好难
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
我下了3.6版的 卖咖啡报病毒！
2005-11-10 10:04
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//