首页
社区
课程
招聘
[分享]《加密与解密(第三版)》学习指引(第十三章)脱壳技术
2008-9-14 02:55 29164

[分享]《加密与解密(第三版)》学习指引(第十三章)脱壳技术

2008-9-14 02:55
29164
两个公司,两个每天工作就是脱壳的人,在看到我在分析壳的时候都说过类似的话。这段代码没必要看,可以直接跳到后面分析。我想,如果我脱壳的时候总是能得到他们的指点,那当然很好了。正如大家看到的脱文,用的脱壳机或者脱壳脚本,能得到帮助总是好的,不能的时候呢?大牛们的话自然没错,但是对于我们初学者呢?这里有一个盲点,大牛都是在不断锻炼中,总结出自己的脱壳方法,当他们脱不了的时候,他们的经验会告诉他们该回头看看哪里些地方,而初学者却没有经验。

人容易犯这些错误


1. 过去懂,现在却不懂了。尤其是从加密解密3开始接触OD的人,从第二章介绍OD到开始学习第十三章,你能记得多少?
2. 明明不懂,却以为自己懂了。尤其是象我这类型通过阅读大量文章学OD的人,好像看得很多,很懂,事实却是常用的功能大家都反复讲,而你遇到的问题却是因为那个不常用的功能。

无论如何,在学习这章之前,先看看第二章,学习问题会少很多的


那些分析未知壳需要牢记的章节


1. 13.1.1壳的加载过程,让你不至于在跟踪未知壳时迷失方向的路标。
2. 13.3抓取内存映像,书中篇幅有限,你可能需要更多的扩展阅读

浅谈脱壳中的Dump技术 作 者: Lenus
http://bbs.pediy.com/showthread.php?t=17624

Anti-Anti-Dump and nonintrusive tracers 翻译:kkbing  aalloverred
http://bbs.pediy.com/showthread.php?t=25001
http://bbs.pediy.com/showthread.php?t=25564

【翻译】现代dump技术及保护措施 作 者: libradohko
http://bbs.pediy.com/showthread.php?t=38785

3. 13.4重建输入表,依然是篇幅有限,由于更灵活更多样化,也很少有人总结。
4. 13.5.4构造重定位表,脱DLL的时候,这个是必须的。不知道是可以发挥创意的地方太少,还是没多少人对脱DLL有兴趣,相关文章十分少


下面是一些经验性的章节,我的建议是随便看看就好了。真遇上相同的情况再对着书来看。这也是我对待脱文的态度


1. 13.2寻找OEP,相信大家都有过ESP定律脱不了壳的经验,这种技巧其实只适合收藏,一旦公布,很快便被壳作者跟进了。如果你有兴趣知道更多,论坛也有几篇文章。

attach法脱壳 作者:kongfoo
http://www.pediy.com/bbshtml/BBS6/pediy6682.htm

寻找真正的入口(OEP)--广义ESP定律 作者:Lenus
http://www.pediy.com/bbshtml/bbs6/pediy6083.htm

一些常见语言所编写的程序的OEP特征 作 者: DimRacker
http://bbs.pediy.com/showthread.php?t=38612

重建stolen bytes的一般方法 作者:blowfish
http://www.pediy.com/bbshtml/BBS6/pediy6840.htm

[翻译]利用代码注入脱壳 作 者: springkang[DFCG
http://bbs.pediy.com/showthread.php?t=4541

2. 13.8压缩壳,你也可以理解为已公布的快速脱壳方法依然能脱的壳。
3. 13.9加密壳,不懂的人似乎都认为高手可以凭空变出脱文、脱壳机和脱壳脚本。总是说帮忙看看,帮忙分析,指点指教什么的,事实上正因为有了加密壳的存在,逆向才变成真正的体力活,少则数小时,多起来多少天也有可能。为了简化分析工作,你需要掌握OllyScript

调试好帮手ODbgScript 入门系列 作 者: hnhuqiong
http://bbs.pediy.com/showthread.php?t=26029
http://bbs.pediy.com/showthread.php?t=26053
http://bbs.pediy.com/showthread.php?t=26130
http://bbs.pediy.com/showthread.php?t=29572

OllyScript v0.92中文帮助文档 翻译:看雪TT小组
http://bbs.pediy.com/showthread.php?t=3781

[培训]二进制漏洞攻防(第3期);满10人开班;模糊测试与工具使用二次开发;网络协议漏洞挖掘;Linux内核漏洞挖掘与利用;AOSP漏洞挖掘与利用;代码审计。

收藏
点赞7
打赏
分享
最新回复 (19)
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
流星岁月 2008-9-14 15:01
2
0
沙发支持。。。
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
千五 2008-9-17 11:12
3
0
支持!
在迷茫时停下来,再一次检查这些部分,就会有惊喜了
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
红叶枫林 2008-9-17 13:11
4
0
支持.学习学习
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
onlinesoft 2008-9-19 14:29
5
0
刚刚了解,还在学习
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wenchao 2008-9-30 14:44
6
0
太好了,正在学习、、、、
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
bjbb 2008-10-19 22:08
7
0
学习中,谢谢分享
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lfyaiqi 2008-10-20 21:35
8
0
顶了~~~~~~~~~~~~~~~~~
雪    币: 251
活跃值: (25)
能力值: ( LV9,RANK:290 )
在线值:
发帖
回帖
粉丝
newjueqi 7 2008-10-24 09:39
9
0
学习,狂顶!!
雪    币: 207
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
xtxxp 2010-6-10 09:42
10
0
学习中!!支持!!!!
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
我爱丽丽 2010-6-10 10:08
11
0
一定要好好学了,多谢楼主了。。
雪    币: 531
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
zxlin 2010-6-10 14:43
12
0
我买书买到山寨版的《加密与解密》,还是在邮电书城买的!
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wcjj 2010-6-11 11:09
13
0
学习中,写的很详细了/。。。
雪    币: 203
活跃值: (27)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
GCHQ 2010-7-13 12:38
14
0
看得有点晕,,呵呵
雪    币: 116
活跃值: (241)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ncsi 2010-7-13 13:37
15
0
谢谢你我这在学习中
雪    币: 178
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
综合 2010-7-15 15:57
16
0
学习,加油会有收获的
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
achigo 2010-11-11 18:51
17
0
13.9.1 ASProject 書中所提到的trace方式,我ㄧ直沒有辦法跟著照做,因為沒辦法到達書中所提到
00A6266B    rep    movs dword ptr es:[edi], dword ptr [esi]
00A6266D    ecx,   eax

可否請大大幫個忙,想要學習跟蹤
雪    币: 285
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
victoryf 2010-11-13 10:22
18
0
学习了,支持笨笨熊
雪    币: 1208
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
yunyu 2012-9-27 19:07
19
0
谢谢~~~~~~~~~~~~~~~~~~~~~~~~~~~
雪    币: 191
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lzdxbksmc 2012-10-5 15:25
20
0
刚刚了解,还在学习
游客
登录 | 注册 方可回帖
返回