脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律

【脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律】的更多相关文章

脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律

脱壳第一讲,手工脱壳ASPack2.12的壳.ESP定律一丶什么是ESP定律首先我们要明白什么是壳.壳的作用就是加密PE的. 而ESP定律就是壳在加密之前,肯定会保存所有寄存器环境,而出来的时候,则会恢复所有寄存器的环境. 这个就成为ESP定律.(当然我个人理解.可能有更好的理解,请下方评论,我会更改) pushad的时候,肯定所有寄存器入栈. 二丶利用工具脱掉ASPACK2.12的壳首先,我们找一个带壳的工具,利用PEID查壳.查看是什么壳. OD附加进程. 可以看出,一开始就已经pus…

脱壳第二讲,手动脱壳PECompact 2.x

脱壳第二讲,手动脱壳PECompact 2.x PS: 此博客涉及到PE格式.所以观看此博客你要熟悉PE格式首先,逆向inc2l这个工具,汇编中可能会用的 inc头文件转换为lib的工具但是他有壳,先查壳. 发现是这个壳利用Esp定律,脱掉这个壳. 首先,inc2l.exe是32位的,所以要放到虚拟机中. 一丶OD打开分析 1.OD分析发现,首先给eax赋值,然后压栈eax,那么eax肯定会访问,那么我们F8到push eax的下面,也就是4022EA的位置 2.查看栈数据查看栈数据.…

手工脱壳之FSG压缩壳-IAT表修复

目录一.工具及壳介绍二.脱壳 2.1.单步跟踪脱壳 2.2.IAT修复三.程序脱壳后运行截图四.个人总结五.附件一.工具及壳介绍使用工具:Ollydbg.PEID.ImportREC.LoadPE FSG壳 2.0: 二.脱壳 2.1.单步跟踪脱壳因为FSG是压缩壳,所以脱壳最应该尝试的是ESP定律,其次就是单步跟踪,使用OD载入程序,发现入口没有PUSHAD/PUSHFD指令,单步观察堆栈变化程序一开始并没有保存环境,遇到这种情况单步继续跟踪,发现有解密代码的地方继续单步跟…

手工脱壳之AsPack压缩脱壳-随机基址

一.工具及壳介绍二.脱壳1.ESP定律脱壳2.单步跟踪脱壳3.基址重定位的修复一.工具及壳介绍使用工具:Ollydbg.PEID.ImportREC.LoadPE.010 Editor 查看待脱壳程序查看AsPack壳特有的区段信息小结:根据链接器版本推断待脱壳程序应该是VS 2013编写二.脱壳 1.ESP定律脱壳使用OD加载程序,发现pushad指令,判断程序已加壳,这里可以采用ESP定律脱壳单步过pushad处指令后,在esp处下硬件断点让程序运行起来,程序中断的地方即为p…

MFC原理第一讲.MFC的本质.以及手工编写MFC的程序

MFC原理第一讲.MFC的本质.以及手工编写MFC的程序 PS: 这个博客属于复习知识.从头开始讲解. 在写这篇博客之前.已经写了3篇MFC的本质了.不过掌握知识点太多.所以从简重新开始. 一丶MFC的本质是什么. MFC的本质其实就是Win32程序的一种封装. 其实就是封装好了.我们直接用就行了. 二丶手工编写一个MFC程序. 手工编写MFC程序.需要熟悉两个类一个是CWinAPP,一个是CFramWnd类. 这两个类的作用. CWinAPP 这个主要就是保存窗口的一些数据.跟窗口本身无关…

脱壳脚本_手脱壳ASProtect 2.1x SKE -> Alexey Solodovnikov

脱壳ASProtect 2.1x SKE -> Alexey Solodovnikov 用脚本.截图 1:查壳 2:od载入 3:用脚本然后打开脚本文件Aspr2.XX_unpacker_v1.osc,运行,很快的,不管. http://download.csdn.net/detail/kfyzk/1461400 4:提示点确定 5:打开运行记录 6:找到最下面 7:修复刚脱壳的文件 8:对脱壳后的文件查壳运行无异常 09:脱壳完成. ==============================…

菜鸟脱壳之脱壳的基础知识（四）——利用ESP定律来寻找OEP

.上节说的是单步跟踪法,这节讲的是利用堆栈平衡(ESP定律)来进行脱壳!想必大家都听说过ESP定律这个大名吧!ESP定律运用的就是堆栈平衡原理!一般的加壳软件在执行时,首先要初始化,保存环境(保存各个寄存器的值),一般利用PUSHAD(相当于把eax,ecx,edx,ebx,esp,ebp,esi,edi都压栈),当加壳程序的外壳执行完毕以后,再来恢复各个寄存器的内容,通常会用POPAD(相当与把eax,ecx,edx,ebx,esp,ebp,esi,edi都出栈),通过跨区段的转移来跳到程序的…