码迷,mamicode.com
首页 > 其他好文 > 详细

手动脱UPX 壳实战--吾爱破解培训第一课作业1

时间:2015-07-09 13:16:52      阅读:150      评论:0      收藏:0      [点我收藏+]

标签:脱壳   upx 壳   脱upx 壳   吾爱破解   手动脱壳   

作者:Fly2015

Windows平台的加壳软件还是比较多的,因此有很多人对于PC软件的脱壳乐此不彼,本人菜鸟一枚,也学习一下PC的脱壳。要对软件进行脱壳,首先第一步就是 查壳,然后才是 脱壳。

推荐比较好的查壳软件:

PE Detective Exeinfo PEDIE工具。

 

需要脱壳的程序是吾爱破解论坛的windows逆向破解培训http://www.52pojie.cn/thread-378612-1-1.html第一课的作业题1.

 

1.对该程序(吾爱破解培训第一课作业一.exe)进行查壳

PE Detective的查壳结果:

技术分享

Exeinfo PE的查壳结果:

技术分享

DIE的查壳的结果:

DIE查壳有一个好处就是能从查壳的结果中得知被加壳的程序是用什么语言编写的,这个比较有用。

技术分享

2.进行UPX脱壳实战

该程序载入OD以后发现有pushad指令,很显然该程序需采用ESP定律进行脱壳。

技术分享

F8单步走一步,然后右键选择ESP寄存器下HW break硬件断点。

技术分享

F9运行程序,该程序会在硬件断点的地方自动断下来,如图:

技术分享

JMP指令的位置F2下断点,然后F9运行到该断点00457765处,地址0041DDAC处就是被加壳程序原来的OEP处。一般被加壳的程序在解壳以后都会有一个跳转,可能是JMP也可能是其他的指令。F7跟进到地址0041DDAC处,如图:

技术分享

是不是很眼熟啊,VS2008等编译的程序的入口点汇编指令。下一步就可以使用OD的插件OllyDump或者(Load PE+RECImport)工具进行程序的脱壳和IAT表的修复:

技术分享

被加壳程序的真实的OEPRVA地址为1DDAC,这里IAT表的重建选择方式1,根据实际情况选择IAT表的修复方式。

技术分享

Ok。用查壳程序,对脱壳程序进行查壳,结果如下:

技术分享

技术分享

运行一下刚才被脱壳的程序,证明脱壳成功!

技术分享

UPX脱壳分析文档和完美脱壳后的程序下载地址;http://download.csdn.net/detail/qq1084283172/8883081



版权声明:本文为博主原创文章,未经博主允许不得转载。

手动脱UPX 壳实战--吾爱破解培训第一课作业1

标签:脱壳   upx 壳   脱upx 壳   吾爱破解   手动脱壳   

原文地址:http://blog.csdn.net/qq1084283172/article/details/46814025

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!