首页
社区
课程
招聘
[旧帖] [原创]PECompact 2.x -> Jeremy Collake脱壳 0.00雪花
发表于: 2008-3-27 16:25 14525

[旧帖] [原创]PECompact 2.x -> Jeremy Collake脱壳 0.00雪花

2008-3-27 16:25
14525
DUTool 钠米机器人下载器
PEID->PECompact 2.x -> Jeremy Collake
OD忽略所有异常,载入
00401000 >  B8 94B84700     mov     eax, 0047B894
00401005    50              push    eax
00401006    64:FF35 0000000>push    dword ptr fs:[0]
0040100D    64:8925 0000000>mov     dword ptr fs:[0], esp

单步几下,看寄存器窗口出现SEH:
0012FFBC   0012FFE0  Pointer to next SEH record
0012FFC0   0047B894  SE handler
0012FFC4   7C816D4F  RETURN to kernel32.7C816D4F

Ctrl+G    0047B894   F2下断,Shift+F9    取消断点

0047B894    B8 19A647F0     mov     eax, F047A619
0047B899    8D88 9E120010   lea     ecx, dword ptr [eax+1000129E]
0047B89F    8941 01         mov     dword ptr [ecx+1], eax

bp VirtualAlloc  F9,取消断点,Alt+F9返回

0047B8ED    5A              pop     edx               ; DUTool.00400000
0047B8EE    8BF8            mov     edi, eax
0047B8F0    50              push    eax
0047B8F1    52              push    edx

F8单步一路下去,到
0047B953    59              pop     ecx
0047B954    5B              pop     ebx                   ; 7FFDE000
0047B955    5D              pop     ebp
0047B956    FFE0            jmp     eax         //OEP了

汇编的,脱壳+修复(全部正常),可以运行

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (18)
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
2
单步几下,看寄存器窗口出现SEH:
0012FFBC   0012FFE0  Pointer to next SEH record

我F8好几下都不到0012FFBC 这里!

楼主能不能详细点写呀!
2008-3-27 22:56
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
寄存器窗口:
0012FFBC   0012FFE0  Pointer to next SEH record
0012FFC0   0047B894  SE handler
0012FFC4   7C816D4F  RETURN to kernel32.7C816D4F

看这一行:
0012FFC0   0047B894  SE handler

SEH句柄
2008-3-27 23:06
0
雪    币: 13
活跃值: (72)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
i`ll study this tip~~~~
2008-3-28 01:16
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
楼主能否帮我把WPE也脱一下壳啊!!它也是PECompact 2.x -> Jeremy Collake壳。可我是菜鸟中的菜鸟。。无从下手。。
上传的附件:
2008-3-28 01:52
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
单步(我这里4下)
00401014    33C0            xor     eax, eax                         ; wpe_pro.004EFAB8

看堆栈:
0012FFBC   0012FFE0  指向下一个 SEH 记录的指针
0012FFC0   004EFAB8  SE处理程序
0012FFC4   7C816D4F  返回到 kernel32.7C816D4F

Ctrl+G   004EFAB8    F2下断,Shift+F9,取消断点,停在这里:
004EFAB8    B8 2CE94EF0     mov     eax, F04EE92C
004EFABD    8D88 AF110010   lea     ecx, dword ptr [eax+100011AF]
004EFAC3    8941 01         mov     dword ptr [ecx+1], eax

bp VirtualAlloc  F9,取消断点,Alt+F9返回,停在这里:
003800C0    58              pop     eax
003800C1    EB 03           jmp     short 003800C6
003800C3    33C0            xor     eax, eax

单步F8下去(往回跳的不能让它跳回去,用F4):一直到这里

004EFB83    5B              pop     ebx
004EFB84    5D              pop     ebp
004EFB85  - FFE0            jmp     eax          ; wpe_pro.0044E076   //OEP入口

vc++的,脱壳+修复(全部正常),可以运行

回帖怎么+附件(请教)
2008-3-28 11:31
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
脱好的在这里,文件在我瑞星上是报毒的,直接被删除
http://www.namipan.com/d/WpePro1.0c.rar/faa4778fa3318c23e4ab548e18afe8617402c922308d0900
2008-3-28 11:34
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
00401000 >  B8 94B84700     mov     eax, 0047B894  在这一句下硬件执行断点,F9运行,壳就解压了吧
2008-3-28 14:07
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
00380B20    E8 47060000     call    0038116C

到这里才解压
2008-3-28 17:43
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
0047B956  - FFE0            jmp     eax                              ; DUTool.00433EED

跟了一下,呵呵!
2008-3-28 18:30
0
雪    币: 107
活跃值: (1683)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
11
2次ESP定律就搞定了
2008-3-28 19:38
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
12
我还是没搞定`` 能不能再详细点呀!
2008-3-29 06:17
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
13
继续是给新兵的看的。建议说的仔细点
比如按执行什么!下断点按F几
到哪再按F几执行什么!
到哪算脱完壳了。你这样不是和外面的一样嘛!看了等于没看!
2008-3-29 06:30
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
14
Ctrl+G    0047B894   F2下断,Shift+F9    取消断点

这是啥意思?
在0047B894这里按F2  然后再按SHIFT+F9吗? 下了又取消?有啥意义啊?什么都不做吗?
2008-3-29 06:32
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
15
bp VirtualAlloc  F9,取消断点,Alt+F9返回

这个bp VirtualAlloc 在哪呀?根本没有呀?没找到呀
2008-3-29 06:33
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
自己看吧:

http://www.namipan.com/d/UNDUTool.swf/2888ffa6203413e64dc93e481f36bde6e52604c378c74a00
2008-3-29 09:30
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
谢谢这位大大,感激得泪流不止!!!
真的很感谢你的帮助,我有空也学得脱一下~~~学习学习!!

PS:回帖中想添加附件:点击[进入高级模式]按钮,进入了高级回帖模式后。点下面的[管理附件]按钮。将你要上传的附件上传上来就可以了。
2008-3-30 04:34
0
雪    币: 206
活跃值: (57)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mdc
18
感谢分享,我学起来了
2008-3-30 06:28
0
雪    币: 269
活跃值: (51)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
19
这个壳还是比较简单的,压缩壳用ESP定律脱就好了
2008-3-30 07:54
0
游客
登录 | 注册 方可回帖
返回
//