-
-
[求助]ESP定律如何进入OEP?大家指点一下
-
发表于: 2008-4-26 22:45
-
今天试试用UPX 3.02把Windows2003的记事本程序加壳,然后开始自己第一次的手动脱壳
但是脱壳过程中一直无法判断是否进入OEP了...脱出来的文件PEid查看也不正常(能正常运行)
下面是搜索了论坛一些帖子之后一知半解的开始了ESP
1 载入文件,将第一个ESP值减4后 在 command输入框 设置为HW断点
2 F9,断在了popad 下的第一个点(疑惑的就是这里是不是OEP....)
3 Lord PE保存,然后ImportREC修复
4 结果用PEid查看的时候发现似乎有问题...
普通扫描未知
深度扫描为UPX
请问是不是我少了步骤或者是没有进入OEP?(前面部分参照http://bbs.pediy.com/showthread.php?t=63499&highlight=ESP+%E5%AE%9A%E5%BE%8B 弄的)
附上加壳的记事本程序 notepad.rar
麻烦大家了~
但是脱壳过程中一直无法判断是否进入OEP了...脱出来的文件PEid查看也不正常(能正常运行)
下面是搜索了论坛一些帖子之后一知半解的开始了ESP
1 载入文件,将第一个ESP值减4后 在 command输入框 设置为HW断点
2 F9,断在了popad 下的第一个点(疑惑的就是这里是不是OEP....)
3 Lord PE保存,然后ImportREC修复
4 结果用PEid查看的时候发现似乎有问题...
普通扫描未知
深度扫描为UPX
请问是不是我少了步骤或者是没有进入OEP?(前面部分参照http://bbs.pediy.com/showthread.php?t=63499&highlight=ESP+%E5%AE%9A%E5%BE%8B 弄的)
附上加壳的记事本程序 notepad.rar
麻烦大家了~
|
|
|---|---|
|
|
|
|
|
|
|
|
成功了
 非常感谢指点 
|
|
|
[QUOTE='UD]Arthas;446089']像UPX这样不是猛壳的壳，它的壳代码到OEP时，是有一个明显的长距离跨段的跳转的，因为它不猛，o(∩_∩)o...源程序的加密代码是在一个单独的段里面，壳运行后解密还原出代码就要跳过去执行源程序了，而源程序是在另一个段里面，所以就有了这个明显的跳转分界线，你用esp定律后断下来的下面就有一个长距离的...[/QUOTE]
恩 听你这么一说之后,就明白了 原来会有这样的一个跳转存在 非常感谢 呵呵
|
|
|
第一次手动脱壳实验成功了.感谢大家的帮助 :)
贴图庆贺一下(虽然是一个比较好脱的壳 不过有纪念价值 呵呵) 再次感谢一下了  偶要继续努力了 |
|
|
|
|
|
|
|
|
恩 好的~这两天都一直在看论坛精华帖和视频教程
|
|
|
|
