-
-
[求助]初学者请教,关于mpress的脱壳。
-
发表于:
2024-7-9 02:40
2848
-
1、使用peid和exeinfope查壳,显示的是mpress壳
![](upload/attach/202407/773814_SXTWPDT68G85WD8.webp)
![](upload/attach/202407/773814_KN9J4VK65YY8NYJ.webp)
![](upload/attach/202407/773814_MK2Y9NGY3ARVDTZ.webp)
2、使用ollydbg进行脱壳,使用esp定律法、二次内存镜像法和一步达到oep都指向了一个位置,然后根据这个位置,找到了一个oep。我不确定这个oep是不是对的。
![](upload/attach/202407/773814_4GR8E64JWTJZW2W.webp)
图一、00908377这个位置是程序的入口。
![](upload/attach/202407/773814_C9733SA6Q98XPP7.webp)
图二、使用以上说明的三种方式,都指向了007365B6这个地址。
![](upload/attach/202407/773814_SSUECJ4RMEBHY2N.webp)
图三、007365B6这个位置如果按F8者指向00542F38这个位置。
![](upload/attach/202407/773814_ZUFHWAHWCTAY5GH.webp)
图四、F7步入call的子函数进入00555790E,底下的00557910这个是我认为的oep入口。
3、使用ollydump、lordpe两个工具来转存程序。
4、之后使用ImportREC加载脱壳前的程序获取IAT文件。
5、重建程序后,文件无法运行一般是报错,个别时候没有任何响应。
我是一个初学者,之前也尝试脱过其他几种类型的壳,包括mpress的壳也试过,都是能成功的,唯一不同的是之前尝试的是单文件的程序,而这个不是。我也尝试使用脱壳机XVolkolak、QUnpack还有一个好像叫什么RL!UNPACK 的,都没有成功脱壳。
目前有以下几个疑问:
1、我找到的oep入口是否正确。
2、在使用ollydump、lordpe工具转存的时候填写oep地址是要求什么样子的,我看过别人的教程,有获取
eip作为oep的,有只填写oep地址的后四位和五位的。我自己都是填oep的后四位
3、如何在ollydbg中手动获取IAT表函数。我查看过相关的教程有的不是很详细,可以的话推荐一个教程。
备注:附件文件时这个程序的安装包,我脱壳的是这个程序的主程序。这个程序是无意间得到的,脱壳只作为兴趣爱好。请勿用作其他用途。
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课