首页
社区
课程
招聘
[旧帖] [求助]手脱nSPack 3.7 -> North Star/Liu Xing Ping壳求助!! 0.00雪花
发表于: 2009-6-8 01:44 2227

[旧帖] [求助]手脱nSPack 3.7 -> North Star/Liu Xing Ping壳求助!! 0.00雪花

2009-6-8 01:44
2227
用PEiD v0.95 查询 要脱壳的EXE程序发现是!nSPack 3.7 -> North Star/Liu Xing Ping壳
于是打开OD 载入它!来到!
0056FDE8 >  9C              PUSHFD         // F8跳            
0056FDE9    60              PUSHAD         //发现寄存器的红色ESP是0012FFC0 然后在F8跳
0056FDEA    E8 00000000     CALL F2.0056FDEF  //ESP变成0012FA0
0056FDEF    5D              POP EBP
于是F8跳1次 发现寄存器的ESP 是 0012FFC0  
继续F8一次  ESP 0012FFA0
然后在命令栏输入 hr 0012FFA0   
F9 运行  断到这里
00570059    9D              POPFD
0057005A  - E9 995DFFFF     JMP F2.00565DF8
0057005F    8BB5 D0FBFFFF   MOV ESI,DWORD PTR SS:[EBP-430]
00570065    0BF6            OR ESI,ESI
00570067    0F84 97000000   JE F2.00570104
0057006D    8B95 D8FBFFFF   MOV EDX,DWORD PTR SS:[EBP-428]
00570073    03F2            ADD ESI,EDX

然后在继续在命令栏输入 hr 0012FFC0
F9 运行 断到这

00570059    9D              POPFD
0057005A  - E9 995DFFFF     JMP F2.00565DF8
0057005F    8BB5 D0FBFFFF   MOV ESI,DWORD PTR SS:[EBP-430]
00570065    0BF6            OR ESI,ESI
00570067    0F84 97000000   JE F2.00570104
0057006D    8B95 D8FBFFFF   MOV EDX,DWORD PTR SS:[EBP-428]
00570073    03F2            ADD ESI,EDX
00570075    833E 00         CMP DWORD PTR DS:[ESI],0
00570078    75 0E           JNZ SHORT F2.00570088
0057007A    837E 04 00      CMP DWORD PTR DS:[ESI+4],0
0057007E    75 08           JNZ SHORT F2.00570088
00570080    837E 08 00      CMP DWORD PTR DS:[ESI+8],0
00570084    75 02           JNZ SHORT F2.00570088
00570086    EB 7A           JMP SHORT F2.00570102
00570088    8B5E 08         MOV EBX,DWORD PTR DS:[ESI+8]
0057008B    03DA            ADD EBX,EDX
0057008D    53              PUSH EBX
0057008E    52              PUSH EDX
0057008F    56              PUSH ESI
00570090    8DBD 08FEFFFF   LEA EDI,DWORD PTR SS:[EBP-1F8]

然后F8跳  照道理说应该到入口点 但是 到了这里. 请问高手 如何脱此壳?给点思路谢谢!
00565DF8      68            DB 68                                    ;  CHAR 'h'
00565DF9      51            DB 51                                    ;  CHAR 'Q'
00565DFA      FD            DB FD
00565DFB      57            DB 57                                    ;  CHAR 'W'
00565DFC      65            DB 65                                    ;  CHAR 'e'
00565DFD      E8            DB E8
00565DFE      71            DB 71                                    ;  CHAR 'q'
00565DFF      4F            DB 4F                                    ;  CHAR 'O'
00565E00      00            DB 00
00565E01      00            DB 00
00565E02      C7            DB C7
00565E03      63            DB 63                                    ;  CHAR 'c'
00565E04      0C            DB 0C
00565E05      DF            DB DF
00565E06      9E            DB 9E
00565E07      6A            DB 6A                                    ;  CHAR 'j'
00565E08      CC            DB CC
00565E09      7F            DB 7F
00565E0A      83            DB 83
00565E0B      54            DB 54                                    ;  CHAR 'T'
00565E0C      4C            DB 4C                                    ;  CHAR 'L'
00565E0D      56            DB 56                                    ;  CHAR 'V'
00565E0E      43            DB 43                                    ;  CHAR 'C'
00565E0F      54            DB 54                                    ;  CHAR 'T'
00565E10      92            DB 92
00565E11      71            DB 71                                    ;  CHAR 'q'
00565E12      15            DB 15
00565E13      07            DB 07
00565E14      CE            DB CE
00565E15      5E            DB 5E                                    ;  CHAR '^'
00565E16      67            DB 67                                    ;  CHAR 'g'
00565E17      69            DB 69                                    ;  CHAR 'i'
00565E18      F5            DB F5
00565E19      D0            DB D0
00565E1A      01            DB 01
00565E1B      CF            DB CF
00565E1C      A5            DB A5
00565E1D      7C            DB 7C                                    ;  CHAR '|'
00565E1E      D1            DB D1
00565E1F      97            DB 97
00565E20      90            DB 90
00565E21      6B            DB 6B                                    ;  CHAR 'k'
00565E22      BF            DB BF
00565E23      09            DB 09
00565E24      F3            DB F3
00565E25      62            DB 62                                    ;  CHAR 'b'
00565E26      3B            DB 3B                                    ;  CHAR ';'
00565E27      79            DB 79                                    ;  CHAR 'y'
00565E28      D9            DB D9
00565E29      AB            DB AB
00565E2A      BE            DB BE
00565E2B      23            DB 23                                    ;  CHAR '#'
00565E2C      A5            DB A5
00565E2D      18            DB 18
00565E2E      8D            DB 8D
00565E2F      C9            DB C9
00565E30      FA            DB FA
00565E31      18            DB 18
00565E32      69            DB 69                                    ;  CHAR 'i'
00565E33      AB            DB AB
00565E34      F0            DB F0
00565E35      35            DB 35                                    ;  CHAR '5'
00565E36      8A            DB 8A
00565E37      62            DB 62                                    ;  CHAR 'b'
00565E38      DF            DB DF
00565E39      A6            DB A6
00565E3A      08            DB 08
00565E3B      C7            DB C7
00565E3C      F0            DB F0
00565E3D      CA            DB CA
00565E3E      8A            DB 8A
00565E3F      D1            DB D1
00565E40      BB            DB BB
00565E41      DD            DB DD
00565E42      92            DB 92
00565E43      EE            DB EE
00565E44      67            DB 67                                    ;  CHAR 'g'
00565E45      4C            DB 4C                                    ;  CHAR 'L'
00565E46      B4            DB B4
00565E47      02            DB 02
00565E48      6F            DB 6F                                    ;  CHAR 'o'
00565E49      F9            DB F9
00565E4A      F4            DB F4
00565E4B      15            DB 15
00565E4C      18            DB 18
00565E4D      DE            DB DE
00565E4E      39            DB 39                                    ;  CHAR '9'
00565E4F      73            DB 73                                    ;  CHAR 's'
00565E50      6B            DB 6B                                    ;  CHAR 'k'
00565E51      81            DB 81
00565E52      59            DB 59                                    ;  CHAR 'Y'
00565E53      67            DB 67                                    ;  CHAR 'g'
00565E54      4F            DB 4F                                    ;  CHAR 'O'
00565E55      AA            DB AA
00565E56      06            DB 06
00565E57      3F            DB 3F                                    ;  CHAR '?'
00565E58      B1            DB B1
00565E59      95            DB 95
00565E5A      FE            DB FE
00565E5B      F3            DB F3
00565E5C      C0            DB C0
00565E5D      DA            DB DA
00565E5E      11            DB 11
00565E5F      ED            DB ED
00565E60      13            DB 13
00565E61      C4            DB C4
00565E62      B4            DB B4
00565E63      57            DB 57                                    ;  CHAR 'W'
00565E64      9D            DB 9D
00565E65      EC            DB EC
00565E66      AC            DB AC
00565E67      94            DB 94
00565E68      AF            DB AF
00565E69      67            DB 67                                    ;  CHAR 'g'
00565E6A      85            DB 85
00565E6B      02            DB 02
00565E6C      31            DB 31                                    ;  CHAR '1'
00565E6D      09            DB 09
00565E6E      FF            DB FF
00565E6F      B5            DB B5
00565E70      D6            DB D6
00565E71      20            DB 20                                    ;  CHAR ' '
00565E72      9A            DB 9A
00565E73      77            DB 77                                    ;  CHAR 'w'
00565E74      BB            DB BB
00565E75      4C            DB 4C                                    ;  CHAR 'L'
00565E76      3B            DB 3B                                    ;  CHAR ';'
00565E77      2C            DB 2C                                    ;  CHAR ','

照道理说应该到入口点 但是 到了这里. 请问高手 如何脱此壳?给点思路谢谢!

附件下载地址:是一个简单的SF登陆器,我想脱壳后研究它的原理!
F2.rar

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
收藏
免费 0
支持
分享
最新回复 (32)
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
高手在哪呀?
2009-6-8 06:08
0
雪    币: 57
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
楼上和我是一样的处境,我等处于最底层的临时用户,发现此论坛多半是供高手们交流之用,求助帖发在这里,最后只能靠自己了.请注意是临时用户,而非临时会员!慢慢等着升会员吧.
2009-6-8 18:59
0
雪    币: 78
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
你把文件发过来我看看!
2009-6-8 19:05
0
雪    币: 57
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
楼上的热心让我相当感动
最热心奖颁给你了....
2009-6-8 19:54
0
雪    币: 142
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
添加附件一起研究一下
2009-6-8 20:29
0
雪    币: 86
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
鼠标右键删除分析
2009-6-8 20:41
0
雪    币: 62
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
alt+a 试试。
2009-6-8 20:56
0
雪    币: 57
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
大家如此热心,我发一个上来大家研究一下.我弄了二天一夜,最后都以失败告终.

附件地址:http://www.rayfile.com/files/a33c41fa-5430-11de-befa-0014221b798a/

说明:一个DAT数据文件,一个封装程序和一个模板程序.通过封装程序把模板和DAT数据封装后生成一个新的可执行文件,调用DAT数据文件里面的IP和网址.目的是把这个IP和网址替换掉.
PE检查封装程序为Microsoft Visual C++ 7.0不带壳 .   模板程序为ASProtect 1.2x - 1.3x [Resgistered] -> Alexey Solodovnikov (注:模板程序里面不带IP和网址)
我的思路:
1:WinHex编辑DAT数据文件,搜索不到IP相关字符串,发现DAT数据文件已加密.遂放弃.
2:从封装后的可执行文件入手,经PE检查为ASProtect 1.2x - 1.3x [Resgistered] -> Alexey Solodovnikov [重叠],遇着这种情况不知应该如何开刀.

我自定义难度为5星.按常理对封装后的可执行文件脱壳和反编译应该能达到目的.碍于技术有限,无法完成.
最难的地方莫过于解密数据文件,如此多加密算法,而且作者可以更改其中因子,或者自己修改加密算法,其中的灵活性要比加壳更大,添加暴露自身的东西少之又少,在不知道密钥和算法的情况下,估计还没人能做到.
所以发上所有附件,希望有高手能从中找到正解.给我一学习的机会.
2009-6-8 21:29
0
雪    币: 78
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
我也菜鸟一个互相学习 前几天看到逆向一个一样的壳
2009-6-8 21:53
0
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
附件已经发了.是一个简单的SF登陆器,我想脱壳和研究它的原理!
F2.rar
2009-6-8 22:06
0
雪    币: 78
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
我看了半天也没搞定!
2009-6-8 22:18
0
雪    币: 78
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
只能在壳外面溜达
2009-6-8 22:19
0
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
nSPack 3.7 -> North Star/Liu Xing Ping
这个壳好象没那么难脱的.我看了这方面的一些文章.但是这个不知如何是好.到处乱跳!就是跳不到程序入口点.
2009-6-8 22:32
0
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
此壳和一般的nSPack 3.7 -> North Star/Liu Xing Ping 不一样.
很难找到正确的OEP 郁闷啊~有没有高手解答一下?
2009-6-8 23:32
0
雪    币: 52
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
我把第一层脱掉了,你用工具脱啊
2009-6-9 20:14
0
雪    币: 52
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17


脱了第一个 NSP的  这个是个病毒保护 Morphine 1.2 - 1.3 -> rootkit  就像做免杀的壳一样
上传的附件:
  • 1.jpg (37.58kb,37次下载)
2009-6-9 20:16
0
雪    币: 71
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
菜鸟跑了下  你看下是不是你要的 是手脱的
上传的附件:
2009-6-9 20:28
0
雪    币: 52
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
你和我一样碰到这个壳了,这个是个壳中壳,我已经把壳脱完了,就是不能运行~~~
2009-6-9 20:30
0
雪    币: 57
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
是啊,壳中壳呢.能把你脱的传上来吗?我下载看看.
2009-6-9 21:01
0
雪    币: 318
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
21
00570059    9D              POPFD
0057005A  - E9 995DFFFF     JMP F2.00565DF8     //跳向oep
0057005F    8BB5 D0FBFFFF   MOV ESI,DWORD PTR SS:[EBP-430]

跳向这里:
00565DF8   .  68 51FD5765   push 6557FD51    //OEP
00565DFD   .  E8 714F0000   call F2.0056AD73
00565E02   >  C7            ???                                   ;  未知命令
00565E03      63            db 63                                 ;  CHAR 'c'
00565E04      0C            db 0C
00565E05      DF            db DF
00565E06      9E            db 9E
00565E07      6A            db 6A                                 ;  CHAR 'j'
00565E08      CC            int3
00565E09      7F            db 7F
00565E0A      83            db 83
2009-6-9 21:51
0
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
晕哦.原来 还有一层壳 PEID 既然没检测出来~~汗 谢谢楼上几位高手大大的帮忙!
2009-6-10 02:56
0
雪    币: 63
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
xiaoxyz  第1个脱了后用PEID 0.95 检测是什么都没有.汗.
核心扫描 就是 Borland Delphi 6.0 - 7.0 [Overlay] 了
至于 oraphaelo  大大说的 脱了第1层第2层是Morphine 1.2 - 1.3 -> rootkit 我这边的PEID检测不出来,请问怎么回事!
晕.好象这个登陆器 还有自检验脱了后 开了瞬间自动退出!
2009-6-10 03:56
0
雪    币: 50
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
jp啊.难啊.想学点东西都这么难.
2009-6-10 06:20
0
雪    币: 71
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
25
[QUOTE=brucewsm;639494]xiaoxyz  第1个脱了后用PEID 0.95 检测是什么都没有.汗.
核心扫描 就是 Borland Delphi 6.0 - 7.0 [Overlay] 了
至于 oraphaelo  大大说的 脱了第1层第2层是Morphine 1.2 - 1.3 -> rootkit 我这边的...[/QUOTE]

oraphaelo  ms是用工具脱的吧
我用od脱的 呵呵 我也是新手
2009-6-10 09:18
0
游客
登录 | 注册 方可回帖
返回
//