分析报告 样本名 熊猫烧香 版本 原版 时间 2018-03-18 平台 Windows 7-32位 信息安全研究(病毒分析报告) 目录 1．样本概况... 2 1.1 样本信息... 2 1.2 测试环境及工具... 3 1.3 分析目标... 3 1.4 提取样本... 3 1.4.1查壳... ...
分类：
其他好文 时间：
2018-06-02 21:26:27
阅读次数：
1244
ESP定理脱壳： （1）开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成红色）（这只是一 般情况下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值） （2）在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)， 按回车 （3）选中下断 ...
分类：
其他好文 时间：
2018-05-03 22:02:06
阅读次数：
209
ESP定律是比较常用的脱壳方式，作为新手用的也比较多简单写一下我的看法。 esp定律的使用过程大致为: 1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成红色），并且只有sp和ip为红色。 2.Command窗口中输入dd 0012FFA4 后回车,跟随esp寄存器后的地址。 3.选 ...
分类：
其他好文 时间：
2018-04-20 00:13:24
阅读次数：
189
OEP：程序的入口点，软件加壳就是隐藏了OEP（或者用了假的OEP）， 只要我们找到程序真正的OEP，就可以立刻脱壳。 PUSHAD （压栈） 代表程序的入口点， POPAD （出栈） 代表程序的出口点，与PUSHAD相对应，一般找到这个，OEP就在附近。 常见寻找OEP脱壳的方法 方法一： 1.用 ...
分类：
其他好文 时间：
2018-04-10 17:43:24
阅读次数：
786
本文以乐固2.8.1（后面还有2.10.3.1）为例，介绍乐固壳的分析和脱壳过程。 一、绕过反调试首先，使用ida加载libshella-2.8.1.so后，出现以下section错误提示，点“OK”后仍然可以加载成功： 这说明“乐固”在section做了一些手脚。要解决这个问题，我们需要明白关于s ...
分类：
其他好文 时间：
2018-03-28 21:57:59
阅读次数：
2235
一、工具及壳介绍 使用工具：Ollydbg，PEID，ImportREC，LoadPE，OllySubScript 未知IAT加密壳： 二、初步脱壳 尝试用ESP定律。 疑似OEP，VC6.0特征 进第一个CALL查看 确认是OEP。 OEP地址 = 47148b，RVA = 7148b 导入表函数 ...
分类：
其他好文 时间：
2018-03-24 22:33:20
阅读次数：
343
一、工具及壳介绍 使用工具：Ollydbg，PEID，ImportREC，LoadPE，IDA，Universal Import Fixer，OllySubScript 此篇是加密壳的第二篇，更详细的步骤和思考，请查看第一篇：手工脱壳之 未知加密壳 【IAT加密+混淆+花指令】 PESpin壳： 二 ...
分类：
其他好文 时间：
2018-03-24 22:29:14
阅读次数：
327
本文作者：i春秋作家HAI_ZHU 0×00 前言 市面上的资料大多都是基于Dalvik模式的dump，所以这此准备搞一个ART模式下的dump。HAI_的使用手册（各种好东西） Dalvik模式是Android 4.4及其以下采用的模式，之后到了Android 5.0 之后就是ART模式，关于这两 ...
分类：
移动开发 时间：
2018-03-21 19:52:09
阅读次数：
484
一、工具及壳介绍 使用工具：Ollydbg，PEID，ImportREC，LoadPE，010Editor UPX壳 3.94： 有了上篇ASPack壳的经验，先查看数据目录表： 可知是upx壳通过PE加载器修复自我重定位信息。 二、脱壳 1、ESP定律 入口： 通过ESP定律，ESP下硬件断点。 ...
分类：
编程语言 时间：
2018-03-20 20:43:23
阅读次数：
306
原文:.Net脱壳工具 de4dot参数说明/简易教程de4dot /? 帮助原文 使用方法 de4dot "d:\xx.exe" -p xc -p xc 指定壳类型 , 这里是xc,表示Xenocode壳.这样会在exe的相同目录生成一个 xx_cleaned.exe 的文件, 拖进ILSpy什么... ...
分类：
Web程序 时间：
2018-02-27 11:35:23
阅读次数：
410
