兄弟们好今天给大家来干UPX 0.89.6 - 1.02 1.05 - 1.24 (Delphi) stub - Markus & Laszlo的壳
希望对大家有点帮助,做试验的工具是Domain3.5 有名的入侵辅助工具
UPX 0.89.6 - 1.02 / 1.05 - 1.24 (Delphi) stub -> Markus & Laszlo 没错就是它
这个壳很好脱
来看示范 点否!
记住F8单步向下 F4断点
先向下 有一点大家一定要记得 脱壳一定要让程序向下走不能回跳
00640FC0 8A06 MOV AL,BYTE PTR DS:[ESI]
00640FC2 46 INC ESI
00640FC3 8807 MOV BYTE PTR DS:[EDI],AL
00640FC5 47 INC EDI
00640FC6 01DB ADD EBX,EBX
00640FC8 75 07 JNZ SHORT Domain3_.00640FD1
00640FCA 8B1E MOV EBX,DWORD PTR DS:[ESI]
00640FCC 83EE FC SUB ESI,-4
00640FCF 11DB ADC EBX,EBX
00640FD1 ^ 72 ED JB SHORT Domain3_.00640FC0
00640FD3 B8 01000000 MOV EAX,1<----------断点F4
00641069 8A02 MOV AL,BYTE PTR DS:[EDX]
0064106B 42 INC EDX
0064106C 8807 MOV BYTE PTR DS:[EDI],AL
0064106E 47 INC EDI
0064106F 49 DEC ECX
00641070 ^ 75 F7 JNZ SHORT Domain3_.00641069
00641072 ^ E9 4FFFFFFF JMP Domain3_.00640FC6
00641077 90 NOP
看见没两个回跳
00641077 90 NOP不能断如果断的话程序就会回跳 脱出来的也没用
00641078 8B02 MOV EAX,DWORD PTR DS:[EDX]<----------在这里断F4
00641078 8B02 MOV EAX,DWORD PTR DS:[EDX]
0064107A 83C2 04 ADD EDX,4
0064107D 8907 MOV DWORD PTR DS:[EDI],EAX
0064107F 83C7 04 ADD EDI,4
00641082 83E9 04 SUB ECX,4
00641085 ^ 77 F1 JA SHORT Domain3_.00641078
00641087 01CF ADD EDI,ECX<----------在这里断F4
00641089 ^\E9 38FFFFFF JMP Domain3_.00640FC6
0064108E 5E POP ESI<----------在这里断F4
0064109D ^\77 F7 JA SHORT Domain3_.00641096
0064109F 803F 19 CMP BYTE PTR DS:[EDI],19<----------在这里断F4
006410A2 ^\75 F2 JNZ SHORT Domain3_.00641096
006410A4 8B07 MOV EAX,DWORD PTR DS:[EDI]<----------在这里断F4
006410C0 ^\E2 D9 LOOPD SHORT Domain3_.0064109B
006410C2 8DBE 00C02300 LEA EDI,DWORD PTR DS:[ESI+23C000]<----------在这里断F4
006410C8 8B07 MOV EAX,DWORD PTR DS:[EDI]
006410CA 09C0 OR EAX,EAX
006410CC 74 3C JE SHORT Domain3_.0064110A
006410CE 8B5F 04 MOV EBX,DWORD PTR DS:[EDI+4]
006410D1 8D8430 50652400 LEA EAX,DWORD PTR DS:[EAX+ESI+246550]
006410D8 01F3 ADD EBX,ESI
006410DA 50 PUSH EAX
006410DB 83C7 08 ADD EDI,8
006410DE FF96 40662400 CALL DWORD PTR DS:[ESI+246640]
006410E4 95 XCHG EAX,EBP
006410E5 8A07 MOV AL,BYTE PTR DS:[EDI]
006410E7 47 INC EDI
006410E8 08C0 OR AL,AL
006410EA ^ 74 DC JE SHORT Domain3_.006410C8
注意:这里的向会跳是灰色的线的意思是跳转没实现所以就不用去断它
继续F8
注意:CALL 不能断
00641102 ^\EB E1 JMP SHORT Domain3_.006410E5
00641104 FF96 48662400 CALL DWORD PTR DS:[ESI+246648]
到0064110A 61 POPAD<----------在这里断F4
到这里脱壳就结束了,大家可以去查一下壳,验证一下自己的杰作~~如果是按照上面说的做,就没什么问题哒
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!