能力值:
( LV9,RANK:3410 )
|
-
-
2 楼
UPX:
http://upx.sourceforge.net
16进制工具打开,没有修改的UPX可以看到版本号
Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F
000003D0 00 00 00 00 00 00 00 00 00 00 00 31 2E 39 33 00 ...........1.93.
000003E0 55 50 58 21 0D 09 08 0A DB F3 E5 FC 8A D3 24 AD UPX!....垠妩?$
|
能力值:
( LV2,RANK:10 )
|
-
-
3 楼
fly,在你指示的地方没有看到版本号。
宕了Upx0.83d-Upx1.20d中的所有版本,在用0.90d以前的版本时,提示需要更新的版本;用0.90d-1.20d以后的版本时,压缩率均为37.13%,而原文件的压缩率约为45%.
没办法上传图片
|
能力值:
( LV2,RANK:10 )
|
-
-
4 楼
可能都不是UPX壳
|
能力值:
( LV2,RANK:10 )
|
-
-
5 楼
sm.exe用upx103d脱壳后,再用命令upx103d -1 sm.exe加壳为smu.exe
两者有三个字节的不同:
原加upx壳的sm.exe
00000000h: 4D 5A 76 01 A9 00 01 00 02 00 42 1C FF FF 37 31
00000010h: 00 02 00 00 00 00 00 00 1C 00 00 00 0D 00 14 15
00000020h: B9 80 28 BE FE 50 89 F7-1E A9 B5 80 8C C8 05 05 "?(峻P?┑??"
00000030h: 10 8E D8 05 2F 1C 8E C0-FD F3 A5 FC 2E 80 6C 12 "?/???.?"
00000040h: 10 73 E7 92 AF AD 0E 0E-0E 06 1F 07 16 BD 03 00 "s???."
00000050h: BB 2F 80 55 CB 55 50 58-21 0B 03 03 01 A5 3A C2 "??苏PX!??
00000060h: 98 09 E5 41 BE 45 13 03-32 50 01 43 94 03 00 0E "?辶九2PC?."
00000070h: FF BA 9E 2F 2E 89 16 53-02 FF B4 30 CD 21 8B 2E "??.?S???"
00000080h: 02 00 FF 8B 1E 2C 00 8E-DA A3 7D FF 00 8C 06 7B ".?,.?}??{"
用upx1.03d脱壳再加壳的smu.exe
00000060h: 98 09 E5 41 BE 45 13 03-32 50 01 6A 8E 03 00 2F
即这一行的6Bh,6Ch,6Fh三个字节不同。
请教:
1)sm.exe与 smu.exe虽有不同均可正常用upx脱壳,脱壳后的文件完全相同。那么sm.exe是怎么处理的?有啥子规则?
2)不同之处代表啥?哪里有upx文件头结构的介绍?
|
能力值:
( LV9,RANK:3410 )
|
-
-
6 楼
UPX主页有源码
|
|
|