能力值:
( LV2,RANK:10 )
|
-
-
2 楼
你应该找脱壳机或者脱壳脚本或者手脱教程。
|
能力值:
( LV2,RANK:10 )
|
-
-
3 楼
|
能力值:
( LV2,RANK:10 )
|
-
-
4 楼
ESP定律,入门级的压缩壳,讲讲你怎么脱得,大家才能帮你,你才能学到东西。
|
能力值:
( LV2,RANK:10 )
|
-
-
5 楼
水平实在有限,多次都失败,请大师帮助做个教程,感谢!
|
能力值:
( LV4,RANK:50 )
|
-
-
6 楼
|
能力值:
( LV4,RANK:50 )
|
-
-
7 楼
|
能力值:
( LV3,RANK:20 )
|
-
-
8 楼
我也是新手,这个是自己脱壳的过程,你参考一下。
006E04AE > 60 PUSHAD ; 看到pushad,考虑使用esp定律法
006E04AF E8 00000000 CALL KFocuser.006E04B4 ; F8单步到这里
006E04B4 58 POP EAX
006E04B5 05 5A0B0000 ADD EAX,0B5A
006E04BA 8B30 MOV ESI,DWORD PTR DS:[EAX]
006E04BC 03F0 ADD ESI,EAX
//查看寄存器窗口
EAX 00000000
ECX 0012FFB0
EDX 7C92E514 ntdll.KiFastSystemCallRet
EBX 7FFDC000
ESP 0012FFA4 //这里右键数据窗口跟随
EBP 0012FFF0
ESI FFFFFFFF
EDI 7C930228 ntdll.7C930228
EIP 006E04AF KFocuser.006E04AF
//左下角转存区
0012FFA4 7C930228 ntdll.7C930228 //右键 断点-硬件访问--word
0012FFA8 FFFFFFFF
0012FFAC 0012FFF0
0012FFB0 0012FFC4
0012FFB4 7FFDC000
0012FFB8 7C92E514 ntdll.KiFastSystemCallRet
0012FFBC 0012FFB0
//下好断点后f9运行
0060DC7F ^\E9 A973FCFF JMP KFocuser.005D502D //大跳转 跳向OEP,取消硬件断点,F8单步到oep
0060DC84 24 82 AND AL,82
005D502D E8 66CB0000 CALL KFocuser.005E1B98 //oep vc8的入口特征
005D5032 ^ E9 89FEFFFF JMP KFocuser.005D4EC0
005D5037 3B0D A0EF6700 CMP ECX,DWORD PTR DS:[67EFA0]
005D503D 75 02 JNZ SHORT KFocuser.005D5041
005D503F F3: PREFIX REP:
005D5040 C3 RETN
005D5041 E9 EDCB0000 JMP KFocuser.005E1C33
005D5046 8B41 04 MOV EAX,DWORD PTR DS:[ECX+4]
005D5049 85C0 TEST EAX,EAX
005D504B 75 05 JNZ SHORT KFocuser.005D5052
005D504D B8 988E6300 MOV EAX,KFocuser.00638E98 ; ASCII "Unknown exception"
|
|
|