手动对软件脱壳教程下载
大家好我是kcarhc打造最好的电脑自学交流论坛( c5 K1 t# P% E, b i9 {
打造最好的电脑自学交流论坛+ Y& t8 A9 p8 m n+ I
很高兴能再次给大家讲课电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站; |) D; w2 J" ~# O& g; m; {8 O& h* M
打造最好的电脑自学交流论坛4 d2 I6 |" O& ~0 S. _
今天要讲的是打造最好的电脑自学交流论坛0 k/ z% ~2 u- A2 ~* O1 K' F5 p
我爱电脑技术社区--打造最好的电脑技术自学交流平台. D% S, Q( T+ W! T
零起点教你手动脱壳
0 s0 ]. F9 d- H8 v电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站我爱电脑技术社区--打造最好的电脑技术自学交流平台8 a" A! ]/ X8 w: R. N6 u, W2 K. I5 v
先介绍一下今天的主角
8 b0 _' V6 M8 n* [3 B% mwww.520diannao.com加了upx壳的win98的记事本
0 f* s. B3 \# E电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站我爱电脑技术论坛. j/ a, B: K! ]! S: ]; h, Y
手动脱壳
& w/ s( s# ]2 xwww.520diannao.com
4 \6 ], _' E# Q( @第一步:寻找OEP(Original Entry Point)
- s% [ s1 y T2 k5 ?我爱电脑技术论坛Original Entry Point
' [# ]; R( o2 i8 u电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站最初的 入口 点2 ^* i8 W- P h! Q
我们把OEP翻译过来就是入口点
! t \0 J$ y! m; F我爱电脑技术论坛
1 X. T& [# Q/ E, }) m, y: m- Wwww.520diannao.com寻找OEP分自动和手动
% C9 }% @0 K& P* D* F打造最好的电脑自学交流论坛我们先讲手动
+ E9 n* u' ~0 s3 R我爱电脑技术论坛9 w6 V3 L4 G5 ?! e) l% w
这次我们用到的软件是OLLYDBG
5 T) X/ n8 |7 E a我爱电脑技术社区--打造最好的电脑技术自学交流平台上期介绍了 这次就不说
5 t% l3 L: |( X: _$ E' m: \打造最好的电脑自学交流论坛总之功能是一个强大的调试器
; i a2 a4 F6 S5 n$ m, v' i我爱电脑技术社区--打造最好的电脑技术自学交流平台我爱电脑技术社区--打造最好的电脑技术自学交流平台. T/ I+ _1 `* J8 \
# @: K, f- t) e. I我爱电脑技术论坛打开OLLYDBG- s1 J) \# B# J$ H, i
+ q) Q1 a. p- m h我爱电脑技术论坛0040EF20 >PUSHAD ; 这里是UPX壳的入口 一般UPX的入口都是PUSHAD 之所以把这个告诉大家 为了在大家遇到 多重壳的时候 做准备
9 `/ T* C( r% o0 O1 Owww.520diannao.com0040EF21 MOV ESI,NOTEPAD.0040C015电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站7 i7 P4 S# W J4 ?+ i+ l# N$ Y/ V
0040EF26 LEA EDI,DWORD PTR DS:[ESI+FFFF4>
% B2 N; z6 ~2 E# C我爱电脑技术论坛0040EF2C PUSH EDI
6 Q' T. A& J5 D x: C5 K ~' u我爱电脑技术论坛0040EF2D OR EBP,FFFFFFFF我爱电脑技术论坛 U$ f* C( Z9 _4 t% s
0040EF30 JMP SHORT NOTEPAD.0040EF42 ; 跳40EF42
5 F% R7 |7 [/ R# X' d% I, nwww.520diannao.com0040EF32 NOP
8 {. W* ^0 Z; O电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040EF33 NOP我爱电脑技术论坛+ t( y: |' A! o- ^" D' D& M! @2 z
0040EF34 NOP我爱电脑技术社区--打造最好的电脑技术自学交流平台" U. w) F# X6 y5 v; |0 e
0040EF35 NOP我爱电脑技术论坛4 ^% ]; i* H& x8 s- G/ X* S; R
0040EF36 NOP
6 |, @- ^3 I- J5 k) Q" awww.520diannao.com0040EF37 NOP
% `+ ^8 g$ T) \4 o我爱电脑技术论坛0040EF38 MOV AL,BYTE PTR DS:[ESI]
5 v' E0 X- W8 {& p+ k$ R( m打造最好的电脑自学交流论坛0040EF3A INC ESI! t( w3 { F* U7 N; z4 L
0040EF3B MOV BYTE PTR DS:[EDI],AL打造最好的电脑自学交流论坛2 b4 I" b% H4 P y U/ N
0040EF3D INC EDI
/ \3 x# B3 q7 {# N% h- h& f打造最好的电脑自学交流论坛0040EF3E ADD EBX,EBXwww.520diannao.com7 o% K8 n- \ K; T J2 k, H% x$ g
0040EF40 JNZ SHORT NOTEPAD.0040EF49我爱电脑技术社区--打造最好的电脑技术自学交流平台) B W. Q+ |- ?6 b' I6 ~2 G; Z
0040EF42 MOV EBX,DWORD PTR DS:[ESI] ; 跳到这里我爱电脑技术社区--打造最好的电脑技术自学交流平台1 ^1 M: i* ^8 d! P6 V8 a: A' ~0 Y! F
0040EF44 SUB ESI,-4
" a1 V4 j" q% e2 x我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EF47 ADC EBX,EBX
7 `9 D0 u9 `* p4 N, H! D5 I打造最好的电脑自学交流论坛0040EF49 JB SHORT NOTEPAD.0040EF38 ; 往回跳 不能跳 打造最好的电脑自学交流论坛8 u4 S; Y" Z9 Q* U4 L9 O9 D
0040EF4B MOV EAX,1 ; 点这F4电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站, `* [/ l( X/ D7 ?) F5 Y) q
0040EF50 ADD EBX,EBX
; l- R0 N2 z7 p4 i$ U @, K) Rwww.520diannao.com0040EF52 JNZ SHORT NOTEPAD.0040EF5B ; 跳到40EF5B
) ^' X! x4 |3 L# R, j. F0 F打造最好的电脑自学交流论坛0040EF54 MOV EBX,DWORD PTR DS:[ESI]我爱电脑技术论坛+ O3 t- w# g; ^* k* H4 C
0040EF56 SUB ESI,-4
& u! u& m' \3 P! k) o我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EF59 ADC EBX,EBX/ I+ o5 L+ s4 J* o
0040EF5B ADC EAX,EAX ; 来到这里,继续走我爱电脑技术论坛/ f3 x) \/ ~2 d6 e( D& M1 ^
0040EF5D ADD EBX,EBX& B! q: X+ z( h" S+ N! g1 j& V" {
0040EF5F JNB SHORT NOTEPAD.0040EF50www.520diannao.com* j: g4 B& w* c8 i6 r
0040EF61 JNZ SHORT NOTEPAD.0040EF6C ; 继续跳到40EF6C
; i9 ~9 U) S; O9 B我爱电脑技术论坛0040EF63 MOV EBX,DWORD PTR DS:[ESI]www.520diannao.com- \3 A- F0 n: ~+ ^/ b8 u \
0040EF65 SUB ESI,-4
, W6 z/ {- p1 d D; F) Rwww.520diannao.com0040EF68 ADC EBX,EBX我爱电脑技术论坛5 k" a, v+ |) X2 u
0040EF6A JNB SHORT NOTEPAD.0040EF50www.520diannao.com5 T! v9 L% p, z, B
0040EF6C XOR ECX,ECX ; 跳到这了,继续
" A" J% g! ~5 r! v9 vwww.520diannao.com0040EF6E SUB EAX,3. y5 q) }* I8 G% s9 q* W
0040EF71 JB SHORT NOTEPAD.0040EF80 ; 继续跳40EF80电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站3 h5 ]: [- i' }; Y+ c$ Q" M; K
0040EF73 SHL EAX,8www.520diannao.com1 D9 D. @2 P8 F+ x2 p6 M7 D
0040EF76 MOV AL,BYTE PTR DS:[ESI]
+ M$ t' q9 N+ |, u! Z& D: _我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EF78 INC ESI我爱电脑技术论坛2 ~8 F0 E6 d8 T+ J/ t9 v$ c
0040EF79 XOR EAX,FFFFFFFF我爱电脑技术社区--打造最好的电脑技术自学交流平台( F3 l: _4 V# t0 ^4 W
0040EF7C JE SHORT NOTEPAD.0040EFF2
# |7 W* n% `! Z: C% r! Owww.520diannao.com0040EF7E MOV EBP,EAX我爱电脑技术论坛% M- `" D" D8 a' w4 m
0040EF80 ADD EBX,EBX ; 到这了,继续
; l6 ?% O( s, W5 ^7 @" L我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EF82 JNZ SHORT NOTEPAD.0040EF8B ; 继续跳40EF8B我爱电脑技术社区--打造最好的电脑技术自学交流平台7 z" L A8 a, i$ h7 w a Y) o
0040EF84 MOV EBX,DWORD PTR DS:[ESI]
n9 T3 d+ |1 s7 W" t8 F打造最好的电脑自学交流论坛0040EF86 SUB ESI,-4. P2 [: m' f+ \$ l& k( d
0040EF89 ADC EBX,EBX
8 `! _1 s4 w) {, v. y0 W打造最好的电脑自学交流论坛0040EF8B ADC ECX,ECX ; 到这,继续打造最好的电脑自学交流论坛/ I$ g/ a! V; K' O6 m
0040EF8D ADD EBX,EBX
7 b* x! K+ [, p# [! g) M电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040EF8F JNZ SHORT NOTEPAD.0040EF98 ; 跳40EF98www.520diannao.com/ \+ y1 F( M/ z6 m/ ?
0040EF91 MOV EBX,DWORD PTR DS:[ESI]www.520diannao.com) [- V- c/ X8 Z; }! O- }' X9 s
0040EF93 SUB ESI,-4我爱电脑技术社区--打造最好的电脑技术自学交流平台% d8 b7 t6 ?5 Z/ f& Z
0040EF96 ADC EBX,EBX
; _7 o3 {' s6 Y7 g/ x2 i& ~0 k& V' p打造最好的电脑自学交流论坛0040EF98 ADC ECX,ECX ; 到这里
1 @/ D8 G5 M) i9 D1 e' x0040EF9A JNZ SHORT NOTEPAD.0040EFBC ; 跳40EFBCwww.520diannao.com% T5 G- G: N# J0 _- j. \: [. G; @
0040EF9C INC ECXwww.520diannao.com9 p h% y _ ^" M8 J L- [
0040EF9D ADD EBX,EBX
/ i) [: Z' k& x% C7 ^电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040EF9F JNZ SHORT NOTEPAD.0040EFA8
8 m* } H1 n! g9 u+ W( q) }打造最好的电脑自学交流论坛0040EFA1 MOV EBX,DWORD PTR DS:[ESI]打造最好的电脑自学交流论坛# @" P6 L6 O9 K0 H0 n
0040EFA3 SUB ESI,-4
6 ^. r. S% Q6 w* U) W我爱电脑技术论坛0040EFA6 ADC EBX,EBX
1 N8 N3 _% B' T" e. ~( _7 t我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFA8 ADC ECX,ECX
5 [; J q$ V. V* t6 r5 a我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFAA ADD EBX,EBX
! l# Z) _/ S) D0040EFAC JNB SHORT NOTEPAD.0040EF9D我爱电脑技术论坛* ^' |5 r- Y; w. l* }) V/ _
0040EFAE JNZ SHORT NOTEPAD.0040EFB9
t/ [2 G( c+ I8 H u( gwww.520diannao.com0040EFB0 MOV EBX,DWORD PTR DS:[ESI]8 e' L2 `1 H$ ?/ i' ?
0040EFB2 SUB ESI,-4电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站; {) U8 u0 y. I% j- F# p
0040EFB5 ADC EBX,EBX我爱电脑技术论坛& ^3 f6 `; a: A5 H: c4 v
0040EFB7 JNB SHORT NOTEPAD.0040EF9D电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站8 a! e, u+ B u2 M+ w; j
0040EFB9 ADD ECX,2www.520diannao.com! V l c3 N/ K0 V: X
0040EFBC CMP EBP,-0D00 ; 到这里
( x6 }6 r5 H* w% v& U$ C8 F: r电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040EFC2 ADC ECX,1我爱电脑技术社区--打造最好的电脑技术自学交流平台, K$ d6 O1 _& f0 |
0040EFC5 LEA EDX,DWORD PTR DS:[EDI+EBP]
: E3 j6 c" _: p3 B2 [ |) [' {打造最好的电脑自学交流论坛0040EFC8 CMP EBP,-4我爱电脑技术社区--打造最好的电脑技术自学交流平台( k) [* N4 a4 f7 e& s) T8 q
0040EFCB JBE SHORT NOTEPAD.0040EFDC打造最好的电脑自学交流论坛# a$ e# M6 T" E
0040EFCD MOV AL,BYTE PTR DS:[EDX]
' H! R |) X k& _9 \ E1 C4 W g电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040EFCF INC EDX电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站! B- Q4 p( Z% {9 b
0040EFD0 MOV BYTE PTR DS:[EDI],AL
7 J: N4 }. z( X0 k9 O; `2 F我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFD2 INC EDI
+ q' z9 K2 X' D& b. Y打造最好的电脑自学交流论坛0040EFD3 DEC ECX我爱电脑技术论坛7 q$ d! m6 X. t3 x& D6 J
0040EFD4 JNZ SHORT NOTEPAD.0040EFCD ; 这个是往回跳 不能跳
( X! {4 {3 X% |4 W0040EFD6 JMP NOTEPAD.0040EF3E ; 这个也往会跳,也不能跳我爱电脑技术社区--打造最好的电脑技术自学交流平台7 t4 S+ H1 d* Q/ x/ G; s7 q+ p1 g
0040EFDB NOP我爱电脑技术社区--打造最好的电脑技术自学交流平台: s% U- T) k8 O5 w x6 D4 c: H, _$ w
0040EFDC MOV EAX,DWORD PTR DS:[EDX] ; 点这里F4
9 Z0 J, C/ D5 g! t" |& e8 H2 C打造最好的电脑自学交流论坛0040EFDE ADD EDX,4
4 d$ I2 b" t3 V% wwww.520diannao.com0040EFE1 MOV DWORD PTR DS:[EDI],EAX电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站2 `; ^' P4 y) l
0040EFE3 ADD EDI,4我爱电脑技术论坛% H4 F/ q" V r7 g: f% D) _
0040EFE6 SUB ECX,4
+ t" N% S3 d% T9 o我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFE9 JA SHORT NOTEPAD.0040EFDC
. x+ Z/ h3 E9 C# s$ r2 N% e5 G我爱电脑技术论坛0040EFEB ADD EDI,ECX
" l7 l# g. X s7 [6 \" i1 ]9 Xwww.520diannao.com0040EFED JMP NOTEPAD.0040EF3E ; 往会跳 不跳
0 g; `( v$ C2 ~/ c4 A我爱电脑技术论坛0040EFF2 POP ESI ; 点这里F4
; D7 i$ s1 ~, r% I% r* {0040EFF3 MOV EDI,ESI打造最好的电脑自学交流论坛4 R9 u c) x$ [/ \
0040EFF5 MOV ECX,0DD
0 F8 j% d d4 n4 H打造最好的电脑自学交流论坛0040EFFA MOV AL,BYTE PTR DS:[EDI]
- f6 G5 Q) A" s/ Z3 ^0 M我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFFC INC EDI
5 u+ e& S' G8 ]9 L% y0040EFFD SUB AL,0E8
a9 D2 r7 V( G+ @8 `1 Y6 U( f我爱电脑技术社区--打造最好的电脑技术自学交流平台0040EFFF CMP AL,1/ q# j& y, ?0 z
0040F001 JA SHORT NOTEPAD.0040EFFA ; 往会跳 不跳
7 R8 `( u+ j6 N# `& ~我爱电脑技术社区--打造最好的电脑技术自学交流平台0040F003 CMP BYTE PTR DS:[EDI],0
% m; [/ S0 t, u9 c0 U3 ^% b电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F006 JNZ SHORT NOTEPAD.0040EFFA ; 这里也往回跳
O4 u; b7 r$ l l0040F008 MOV EAX,DWORD PTR DS:[EDI] ; 直接点这里F4
- u" z u% j' M# a/ O9 P+ q8 lwww.520diannao.com0040F00A MOV BL,BYTE PTR DS:[EDI+4]我爱电脑技术社区--打造最好的电脑技术自学交流平台- V$ l c* h+ Q- H+ H
0040F00D SHR AX,8
' j: h: O" P- w" |; [: u电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F011 ROL EAX,10
& u# f( g9 B8 g3 h' l E) U* v我爱电脑技术论坛0040F014 XCHG AH,ALwww.520diannao.com) ?+ \- m# F0 X. J' A }" M
0040F016 SUB EAX,EDI
9 K$ j7 Z/ E( O! H0 V8 I+ O6 B0040F018 SUB BL,0E8
$ }6 X5 v0 j) e t: t" W0 i3 f% d5 ^我爱电脑技术论坛0040F01B ADD EAX,ESI
7 J, E, {$ I- Y/ i, f& c2 z电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F01D MOV DWORD PTR DS:[EDI],EAX打造最好的电脑自学交流论坛1 F$ {9 }/ F7 z6 q9 C6 X5 s
0040F01F ADD EDI,5
* ~0 W) \ x9 L, k* l0040F022 MOV EAX,EBX我爱电脑技术论坛2 J8 }& |3 q1 K U5 h
0040F024 LOOPD SHORT NOTEPAD.0040EFFF ; 这是一个循环,跳出它
7 I4 x1 X" `7 \# r1 l我爱电脑技术论坛0040F026 LEA EDI,DWORD PTR DS:[ESI+C000] ; 点这里F4电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站/ `4 _3 h2 m! v, A& M3 ]
0040F02C MOV EAX,DWORD PTR DS:[EDI]我爱电脑技术论坛! _5 f8 ?5 I& g8 h
0040F02E OR EAX,EAX打造最好的电脑自学交流论坛6 w3 u( V2 ]0 M# x1 ]
0040F030 JE SHORT NOTEPAD.0040F06Ewww.520diannao.com; D* ~5 ], ^+ E$ b% ~0 N; c4 X
0040F032 MOV EBX,DWORD PTR DS:[EDI+4]
1 h( f' e% S8 S( o& W- |9 n电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F035 LEA EAX,DWORD PTR DS:[EAX+ESI+1>电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站6 P+ d7 N2 e9 }9 e. N
0040F03C ADD EBX,ESI
. \6 V4 [* Y/ K$ _) H0040F03E PUSH EAX我爱电脑技术社区--打造最好的电脑技术自学交流平台( y, ]4 D' |+ M3 G) @
0040F03F ADD EDI,89 i% p/ @" `' E* X. A, N
0040F042 CALL DWORD PTR DS:[ESI+12448]" T( A$ Z6 k: J2 t8 ]! _
0040F048 XCHG EAX,EBPwww.520diannao.com# R; Q. T$ x( y/ p ?
0040F049 MOV AL,BYTE PTR DS:[EDI]我爱电脑技术论坛# K! G% H& `6 c5 M! ^( g- w
0040F04B INC EDI
9 h6 r& I4 k3 p) Mwww.520diannao.com0040F04C OR AL,AL我爱电脑技术论坛; N, ~, H# q" E, s7 ]" o; M
0040F04E JE SHORT NOTEPAD.0040F02C
& v+ J: O8 {$ B# _( D3 a电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F050 MOV ECX,EDI
0 Q5 _% _' F2 c: O4 K: _打造最好的电脑自学交流论坛0040F052 PUSH EDI
9 ?0 h3 ?( {, L2 ^0 a7 i电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0040F053 DEC EAXwww.520diannao.com' t0 s) i3 ]) f% t: B
0040F054 REPNE SCAS BYTE PTR ES:[EDI]我爱电脑技术社区--打造最好的电脑技术自学交流平台3 A' Y' o& c) d9 ~' I) W3 |! O
0040F056 PUSH EBP
2 j! p4 {; [% H5 G; o9 `$ j& owww.520diannao.com0040F057 CALL DWORD PTR DS:[ESI+1244C]电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站% k% z0 E7 f- B3 _
0040F05D OR EAX,EAX我爱电脑技术社区--打造最好的电脑技术自学交流平台0 `5 U* ?/ y. @
0040F05F JE SHORT NOTEPAD.0040F068打造最好的电脑自学交流论坛) c" S9 t" g& W$ l) a$ A
0040F061 MOV DWORD PTR DS:[EBX],EAXwww.520diannao.com+ I; j; M4 A1 b6 |0 S, K+ d
0040F063 ADD EBX,4我爱电脑技术论坛* q+ G( S" {8 u$ P$ M2 {
0040F066 JMP SHORT NOTEPAD.0040F049 ; 不能跳我爱电脑技术社区--打造最好的电脑技术自学交流平台 x! A( X8 _$ a$ q' L, l
0040F068 CALL DWORD PTR DS:[ESI+12450]电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站8 n2 w, i6 ^) t
0040F06E POPAD ; 关键点 对应 PUSHAD 入口就在附近 F4点这里电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站- r2 Z, h" a; t9 @# v% u/ w
0040F06F JMP NOTEPAD.004010CC ; 跳到入口点 地址大跨度跳跃 40FXXX跳到了401XXXwww.520diannao.com' g3 C' N3 y; J
=>
( I, u" A7 O+ P打造最好的电脑自学交流论坛004010CC PUSH EBP ; 入口点OEP
, w) M. ~) j% J4 H! W) Y2 ?6 v0 ~3 z% V' n1 h/ T4 q; Q
程序加壳段地址一直在0040FXXX突然跳转到00401XXX段打造最好的电脑自学交流论坛: P5 K7 Y7 ]: U! V0 q
跨段跳跃时,一般都是在内存中脱壳完毕,www.520diannao.com! q/ n( Z- Z5 K3 b. N4 @- r
准备运行程序,手动脱壳就是要在入口将程序Dump出来。
; F& g- T0 l) P3 U6 d) D转到入口时一般都有Popad语句和开始的PUSHAD对应。
7 C! r( N7 u5 f- B3 {我爱电脑技术社区--打造最好的电脑技术自学交流平台
7 B0 N2 X9 r) @* Y9 N3 c- a入口点OEP:4010CC或10CC
& E) S, [" ~4 B o; Z# G( ~8 Z我爱电脑技术论坛
' e; b7 ^/ {. I0 }, i这里说到4010CC给大家说明一下地址我爱电脑技术社区--打造最好的电脑技术自学交流平台* \- E' e, l/ G4 |, C
计算机中的地址有这些
1 p2 \6 `0 f; N6 Y) C1 Z3 ?$ i& D我爱电脑技术社区--打造最好的电脑技术自学交流平台
; o2 N! B# b, I& C$ _1 q5 b打造最好的电脑自学交流论坛VA:Virtual Address=虚拟地址 比如4010CC这些都是 虚拟地址
2 T) ]# `( t, K3 H( f& M1 E我爱电脑技术论坛 虚拟的 地址
! P# r. K8 g) w& K打造最好的电脑自学交流论坛
5 N" p" _ [. c q$ Z1 e, B& Y( ZRVA:Relative Virtual Address=相对虚拟地址 相对虚拟地址 就是比如入口点 我们可以说成10CC
; P2 }' ]' L7 k0 D电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站 相对的 虚拟的 地址电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站( ~2 q; m% G- h T, ]) o1 [
电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站% |+ _! O2 K' Z2 c2 J+ {( d' o4 p* O
IB:ImageBass=基址 这个程序的基址就是 400000我爱电脑技术社区--打造最好的电脑技术自学交流平台8 w% c! @; [! Y ?
打造最好的电脑自学交流论坛) X, b$ a/ P- V- J f
RVA=VA-IB=虚拟地址-基址=相对虚拟地址
/ Y8 P2 m6 ~/ f我爱电脑技术论坛打造最好的电脑自学交流论坛3 w2 L4 `& Z: O L9 T
Offset:偏移量 在一些16位进制的编辑器中左边显示的地址电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站, A' W/ d1 o! r' I4 Q4 M
~* \& t. X7 k& f: l: S( Q) Q4 z V+ K% K
好了 入口点 我们通过手动找到了 下面来 自动的找www.520diannao.com7 y) M! x0 G% O- o$ ]
! f) w' M; w, S- |
自动就是用专门的入口点检测软件我爱电脑技术论坛7 k6 m. f, |4 H+ L8 v/ r
Pe-Scan v3.31打造最好的电脑自学交流论坛/ m' }$ T8 _; M. ?/ t* b
我们直接 就可以看到 OEP:10CC 我爱电脑技术社区--打造最好的电脑技术自学交流平台& Y1 K. O) g5 u( R
他这里用的就是 RVA相对虚拟地址
1 d9 N2 y2 o- |" n# \电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站工具就是比我们的速度快我爱电脑技术论坛 _. C# L1 e N
不过我教给大家一个快速找UPX入口点的方法
; n$ U5 N- V6 l& m7 hollydbg载入->搜索POPAD(去掉整个块段,也就是只向下搜索)电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站9 J% @% z) ^- g* q
看到POPAD下面的Jmp了吗 点那里F4 然后就到入口点了
5 L0 ~# ~' h' R0 ^; [+ L0 c2 U电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站
1 \& R9 v3 k% |3 d7 Y8 }# O9 _+ I打造最好的电脑自学交流论坛
* \+ W: } B U% B/ g+ g9 g" [我爱电脑技术社区--打造最好的电脑技术自学交流平台好了 第一步OVER
0 \- r5 e' x& W3 Iwww.520diannao.com我爱电脑技术社区--打造最好的电脑技术自学交流平台8 |! |0 D& N( V* z8 z" w
步骤二:
# }1 |8 H: Y/ {/ z/ W9 L7 }我爱电脑技术论坛转储(dump)程序我爱电脑技术社区--打造最好的电脑技术自学交流平台9 {' K4 {1 w. {4 ^" C+ @5 ]
www.520diannao.com. E: z! y& k0 t
返回OLLYDBG
$ @6 M; s( |7 [电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站www.520diannao.com& _' E" }2 L& u7 G( {& V/ U8 [' E
DUMP文件电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站8 t' F' ~- c5 m3 `
1 }! Q2 ` W" y0 W" O5 ^6 Y e/ n我爱电脑技术社区--打造最好的电脑技术自学交流平台试运行DUMP出来的文件 可以运行我爱电脑技术社区--打造最好的电脑技术自学交流平台2 z) G" \3 m N! p2 H0 U
这样我们就免去 步骤三:修复引入函数表(Import Table)
" C9 X) y3 c2 I# v+ ~电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站而且也是稍微难点的东西 因为大家都是第一次 学脱壳 就不讲这个了打造最好的电脑自学交流论坛! `6 w1 _! X; @% ]
希望大家可别打我www.520diannao.com0 U9 v* W/ L$ ~) O$ q
我爱电脑技术论坛+ ~1 O0 U1 o: z" Z7 R8 I3 k) o
接着说下 快速脱掉UPX壳 就是在快速找到入口点的方法后接着 DUMP就可以了
: H+ {' z: [9 [8 ~: S电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站! F7 k2 q0 M0 Q; Z. M9 w* W: I% u
虽然不讲步骤三了 但是还是介绍一下
1 [+ u; M7 t7 G我爱电脑技术社区--打造最好的电脑技术自学交流平台: P g+ l' X7 [7 S
步骤三:修复引入函数表(Import Table)电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站! {8 D4 v- z4 N0 z n
- N) `2 b! ^) L1 T: m z" {5 U) \
这里要用到的工具是专业级的修复软件Import REConstructor v1.6 FINAL
& A8 ~' t7 C9 V6 c0 X* z2 W7 j打造最好的电脑自学交流论坛打造最好的电脑自学交流论坛! \1 u5 a$ F4 l2 O* R: ]7 L
一般就是修正入口点 因为如果入口点错误 整个程序的的引入函数表就都会错 这样就不能正确调用控件之类的而导致程序不能正确进行
- C1 B$ U. c/ U& Y$ jwww.520diannao.com
y3 m: y6 ^/ P# w我爱电脑技术社区--打造最好的电脑技术自学交流平台接着 我们进行步骤四
x. M& v. \) ^& T. q
) g- x# A* {1 O6 h( V+ Xwww.520diannao.com步骤四:优化程序
& S$ G# E$ B! W0 R! Y2 J/ q: E$ O电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站
* u/ m/ U* _& |& E8 ]我爱电脑技术社区--打造最好的电脑技术自学交流平台所谓优化程序就是在我们脱壳的时候 会将内存中一些没有的东西DUMP出来
; M3 A0 g5 z' d/ q+ I我爱电脑技术论坛我们需要对脱壳出来的程序优化
8 e6 h9 L* E: i, M$ [$ L7 t就是让他更精巧点 但这个精巧不是压缩它 类似 打扫房间吧 整理有用的 扔掉没用的
2 Y- F0 h; R, A- L# m9 P% `www.520diannao.com这里我们用到的软件是打造最好的电脑自学交流论坛1 m1 p. w; U* _3 ]5 O5 `+ P
打造最好的电脑自学交流论坛0 O7 Z: G5 ~6 ]' | k
LordPE我爱电脑技术社区--打造最好的电脑技术自学交流平台% |" W9 N3 ~% G& W0 J0 K
$ W9 X. @. n- i9 u0 r4 u2 K, W1 A
使用很简单 我爱电脑技术社区--打造最好的电脑技术自学交流平台% g/ n7 _4 Q6 Y" L: t) P
% S( \/ p0 p6 K, {& g3 C: A+ X/ a我爱电脑技术论坛重建PE->选择我们刚刚脱过的程序 OK我爱电脑技术论坛" M- [/ S0 q5 @
* u o& {1 g3 q/ g0 G3 ?我爱电脑技术论坛这样之后 很多人都认为就OK了
( k- a$ y4 F. J F6 p" Xwww.520diannao.com其实还应该有一步www.520diannao.com4 F. y* S x: W& @2 l
那就是 我爱电脑技术论坛+ O+ ^5 ~% S' f2 x5 o
. c, V# J+ Y( e9 @7 O) z) N打造最好的电脑自学交流论坛步骤五:检查电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站, P& h4 D' U7 i3 f+ i9 V; r6 u5 F
检查的目的是防止脱壳 不彻底
7 l+ X1 D' ^3 u3 E8 Q) R# S电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站一般是在脱多重壳的时候 会出现现象脱壳不彻底电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站: ~6 J( e3 G; d4 p# I
检查一般我可用PEID 这个软件再检查一下就可以了
- `( M' `, {7 H, P- k1 xwww.520diannao.com打造最好的电脑自学交流论坛1 D4 \$ M% F. E3 B& L! Q' n* j
Microsoft Visual C++ 6.0 SPx Method 1我爱电脑技术社区--打造最好的电脑技术自学交流平台3 _( |& m9 B1 T) a
打造最好的电脑自学交流论坛. @/ Q. v: W) r
看到了notepad的编译程序
! _% Z1 P, L. f$ e0 q! i$ q3 mwww.520diannao.com好了结束了打造最好的电脑自学交流论坛1 j( Q+ C( ] u4 B; t5 j; K) k
我爱电脑技术社区--打造最好的电脑技术自学交流平台* F+ W3 n2 S d3 d/ k% w) o% b
打造最好的电脑自学交流论坛2 ]+ W% R# r/ V4 {) ^/ m- ^& K6 L
教程下载地址:
' m% ~; P) H4 _$ ?/ t7 Y打造最好的电脑自学交流论坛点击此处下载