-
-
[分享]Themida & WinLicense 2.0 - 2.4.6 脱壳
-
发表于: 2019-10-23 20:18
-
碰上了这个壳，具体文件就不说了
百度查了一圈找不到相关文章？难道要手脱？
濒临绝望之前，看到了国外某大佬的文章，链接：https://zenhax.com/viewtopic.php?f=4&t=1051Hello
来看过程吧
PEID查壳
脱壳需要的文件如下：
OD
插件：
ODBGScript v1.82.6
StrongOD 0.4.8.892
PhantOm 1.79
ARImpRec.dll
脱壳脚本（Themida - Winlicense Ultra Unpacker 1.4）
文件会在文末留下链接
在使用脱壳脚本之前，需要修改一下ARImpRec.dll的路径。
打开脚本文件搜索HERE_ENTER_YOUR_DLL_PATH_TO_ARIMPREC_DLL:
在324行中修改为你存储此dll的绝对路径。
还有一点需要注意的就是，要使用英文版本的OD，下图中的OllyDBG.exe，然后备份OllyDBG.ini文件。
并创建一个新的OllyDBG.ini，使其文件内容为空
打开OllDBG.exe，加载待脱壳文件，然后加载脚本
运行脚本
点击是
点击否
脚本已经开始工作了
在运行几秒后，脚本暂停在了上图的位置，继续运行脚本即可
随后我们获得了如下图的弹窗，需要在OllyDBG.ini文件中，根据提示修改文件，并重新运行脚本，我在文末的打包文件中已经修改好了
关掉弹窗，继续运行
点击是，进行更多的检查
在这一步，点击否
如果你在虚拟机中运行点击时，真机的话点击否就好了
搞定了，现在可以进行dump了，点击是
按照上图说的去做，第一次看到这个弹窗，点击否，不是第一次点击是
文件大小可以接受，不需要压缩，点击是
一些文件信息，点击是
OK，脱壳结束，脱壳的文件被命名为<原文件名>_DP。
再来查一下壳
公众号回复：Themida
即可下载文中所需文件哦。
搞定。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
感谢分享，很详细的帖子；这脚本 好多年不更新 用起来还那么牢固；本人经过5个不同年代的文件测试，有的一次搞定，有的要修订OPE；总的来说是个好脚本，省了很多的时间和脑力
|
|
|
|
|
|
好强大的脚本呀 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
你好，我在脱壳的时候被检测到了，不知道怎么解决，你能帮帮我吗？ |
|
|
|
|
|
|
|
|
|
|
|
你好！按你的教程脱tmd壳的时候，到提示修改OllyDBG.ini 关闭后继续，然后出来的窗口和你的不一样，你的出来是问要不要更多检查，我的出来是下面图片这样的，  点了确定后出来  像我这样应该要怎么弄？ 直接在OD里运行出来的是这样的提示  教一下，非常感谢！
|
|
|
脚本我有，怎么传给你？ |
|
|
可以直接高级回复带附件 |
|
|
好的，现在给你 |
|
|
看错了，看成是你要了 
|
|
|
我已经传上来了 |
|
|
你的问题解决了么。 我跟你的问题一样。error on lin 11232 |
|
|
请教楼主一个问题，希望楼主可以在百忙之中抽出时间解答一下。 我在入下图一步点否以后，脚本运行了几秒左右停住了，没有出现任何提示，想请教
  |
|
|
没有啊，楼主很忙，没空理我们呢 ，我们的一样，我的也是停在esto这里
|
mb_eoovvcwq
