首页
社区
课程
招聘
[原创]MPRESS v2.12脱壳分析
发表于: 2019-10-8 21:10 17105

[原创]MPRESS v2.12脱壳分析

2019-10-8 21:10
17105
平时喜欢下棋,发现某某名手软件感觉挺好用的样子,想学习一下用什么软件开发的,用ExeInfo PE 查看一下,发现是MPRESS v2.12^ -> [ v2.19 ] - MATCODE comPRESSor for executables (C) 2007,2010, MATCODE Software - www.matcode.com,这个壳的,好像之前没有接触过,查了一下网上,已经有前辈脱过了,自己走一遍吧,记录一下过程。


虚拟机运行看看,哇塞,不让运行

没有办法,照样脱。

OD载入:
 
下断点 BP VirtualProtectEx ,  Shift+F9 二次,因为 三次就跑飞了,Alt+F9一次,达到004B883F,看到了  GetModuleHandelA 函数了,


继续,往下看找到了 popad了,哇塞,运气太好了,直接下断点 004B889A,按F9,F8 2次进到入口,
OEP 00492846


OEP: OEP 00492846




赶快DUMP下来,接下了就说常规操作,










FIX DUMP,运行OK了。 

原来是 Microsoft Visual C++ ver. 7.1 EXE  (3 bytes sign - easy to fake) 这个写的。

接下来继续分析代码,等待后续。


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 1
支持
分享
最新回复 (8)
雪    币: 35433
活跃值: (7155)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
2
AHK 转 EXE 就一般用这个加壳后编译输出 
2019-10-8 21:45
0
雪    币: 59
活跃值: (1481)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
印象中名手都是加的vmp吧……
2019-10-8 22:07
0
雪    币: 245
活跃值: (469)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
4
AHK 是何方神圣?
2019-10-9 08:26
0
雪    币: 27071
活跃值: (63057)
能力值: (RANK:135 )
在线值:
发帖
回帖
粉丝
5
感谢分享!
2019-10-9 09:35
0
雪    币: 12502
活跃值: (3048)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
6
现在的分析帖,都不分析,直接一个bp virtualProtect就出来了。。。
2019-10-9 12:05
0
雪    币: 2136
活跃值: (3191)
能力值: (RANK:260 )
在线值:
发帖
回帖
粉丝
7
是啊,内容潦草了点
2019-10-11 21:08
0
雪    币: 180
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
yiting AHK 是何方神圣?
AHK=AutoHotKey是一门开源的热键脚本语言
2020-8-3 14:33
0
雪    币: 475
活跃值: (386)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
9
不知道为啥,脱壳这里的大佬们总是不上传附件
2020-10-15 10:27
0
游客
登录 | 注册 方可回帖
返回
//