☆Obaby's H4cking W0rld☆

Hack-Crack==Backdoors - RATs - Trojans // Binders-Packers - Rootkits

破解-黑客-零日漏洞-灰鸽子/上兴/PCShare-木马免杀-网站入侵-信息安全

2009年5月10日星期日

学习笔记压缩壳脱壳方法(1)

最近学校大罢工,整好有个机会写篇文章。。。
刚学习行才一个月~秀下自己的学习笔记!
因为自己有一点点编程基础,所以本人学习计划内不包编程笔记了!
我学习步骤:一、学习脱各种不同的壳;
二、学习解密;
三、学习算法;
四、学习编程写注册机;
五、提高编程基础;

以后学到的加密壳等笔记也会放到论坛上给各位参考,共同进步!!

让高手见笑了。。。呵呵!!让咱们一起飞吧菜鸟们!!

手脱 UPX 壳的捷径

用我们已开始提到的”关键提示“。

具体操作:OD载入程序后,直接Ctrl+F,输入 POPAD ;点确定后 来到这个命令所在的位置。按

F2,在这个地方下断;再按F9(运行);停止后,按F2取消刚才下的断点。再F8单步!


1、手脱 ASPCK 的壳

脱这个壳用ESP定律,还是相对快捷的。可以用载入程序后,第二行(是一个CALL)那里面的

ESP。 //多数程序这个壳的第二行都是一个CALL

在左OD左下角的命令行中,输入命令:hr ESP地址(如 hr 0012FFA4);F9 运行。然后从OD”

调试菜单“中的”硬件断点“这一项将刚才下的断点删除,这点很重要!最后F8单步!


2、用 内存镜像法 手脱FSG 1.33 和 PCshrink 的壳

1、忽略所有异常
2、Alt+M 打开内存镜像,找到第一个 ”.rsrc“
3、F2(下断),F9(运行)
4、Alt+M 打开内存镜像,找到”Code“段;
5、F2(下断),Shift+F9【这点一定要记住,切记是 Shift+F9】运行;
6、先按F8,再按下F4,直接到达OEP


3、手脱 JDpack 壳 和 PEpack 1.0 的壳 最简单的方法

脱这个壳推荐使用内存镜像法;

我在用ESP脱壳的时候发现:ESP定律的速度和单步跟踪的速度差不多,所以在这里就不推荐了

。相反,脱 PEpack 1.0 壳 的时候,用ESP定律是最快捷的方法。


4、手脱 PEDiminisher ;Dxpack 0.86 ;32lite 0.03a ;PEtite 2.2 这几种壳的简单方法

脱PEDiminisher ;Dxpack 0.86 ;这两种壳的时候,直接用之前讲到的ESP定律,即可完美脱

壳。命令:【hr ESP地址】

用ESP脱 32lite 0.03a 后 要注意的是,需要用 ImportREC 这个工具进行修复。如:00410D50

在输入框中输入 10D50 就可以了 【004舍去】

在用ESP定律脱 PEtite 2.2 的时候,推荐选择 Pushad 下面那行地址中的 ESP


5、手脱 Exestealth 2.72 的壳

看到这或许大家会沉迷与ESP定律当中,在这里提醒大家:Exestealth 2.72 的壳 用我们一开

始提到的”懒方法脱壳“是最简单的;


6、手脱nspack(北斗)1.3 的壳

1、ESP定律,命令:hr ESP地址 【脱壳后程序不能正常运行】
2、用 ImportREC 这个工具进行修复,修复后程序正常运行。


另类方法脱 ASPack 2.12R 壳的技巧

Ctrl+S 搜索:retn 0C【retn和零C 中间有个空格】 找到后向下看,如下:

retn 0C
push 0 //在 retn 0C 的下面
retn //在这个地方按 F2(下断) ;F9(运行)

停止后按 一下 F8(单步);再按一下 F7(跟进) 观看这看不懂?没关系,要是我,我也看

不懂,所以我早有准备;详细步骤,如下(这是某程序的一部分):

程序中断后来到这里:

0046B3B8 C2 oc00 retn 0C //开始F8(单步)
0046B3B9 68 64584500 push registra.00455864 //这里调用来自 00455864 (OEP)
0046B3C0 C3 retn //F7(跟进) 步入到OEP

注意:这种壳ESP不能直接脱。

7、手脱Telock及Yodas Crypter

最后一次异常法!


总结(引用)
四.常用脱壳方法总结

------------------
方法一:单步跟踪法
------------------
介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟踪分析,要有一定的耐心.

1.用OD载入,选"不分析代码"

2.单步向下跟踪按F8,实现向下的跳.不让程序往回跳.

3.遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——>运行到所选)

4.如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易运行.

5.在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入.

6.一般遇到很大的跳转(跨段跳),比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。


-----------------
方法二:ESP定律法
-----------------
介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快.

1.开始就点F8向下走,注意观察OD右上角的寄存器中ESP有没突现(变成红色)

2.在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者hr
XXXXXXXX),按回车!

3.选中下断的地址,断点--->硬件访--->WORD断点。

4.按一下F9运行程序,直接来到了跳转处,按下F8向下走,就到达程序OEP。

-----------------
方法三:内存镜像法
-----------------
介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用.

1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序!

2.按ALT+M,打开内存镜象,找到程序的第一个.rsrc.按F2下断点,然后按SHIFT+F9运行到断点.

3.接着再按ALT+M,打开内存镜象,找到程序的第一个.rsrc.上面的.CODE,按F2下断点!然后按SHIFT+F9,直接到达程序OEP!

----------------
方法四:一步到OEP
----------------
介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳.

1.开始按Ctrl+F,输入:popad,然后按下F2下断,按F9运行到此处.

2.很快来到大跳转,按F8向下走,来到OEP.


----------------------
方法五:最后一次异常法:
----------------------
介绍:这种方法一般用于加密壳,这是脱加密壳的一种通用方法.

第一步:用OD打开程序,点击选项——调试选项——异常,把里面的√全部去掉!CTRL+F2重载下程序.

第二步:接着我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数n.

第三步:重载程序,再按SHIFT+F9,这次按的次数为上次让程序运行时的次数的n-1次.

第四步:此时观察OD的右下角有一个"SE 句柄",这时我们按CTRL+G,输入SE 句柄前的地址!来到这个地址.

第五步:在这里,按F2下断点!然后按SHIFT+F9来到断点处!

第六步:这时候我们已经跳过了所有异常,然后去掉断点,按F8慢慢向下跟踪很快就到达OEP了.

本文非原创,版权归原作者所有,原文链接:http://bbs.pediy.com/showthread.php?t=88455



1 评论:

蔡翠紫 说...

台灣視訊聊天交友-上海聊天室交友-快播倫理黃色A片-好聊免費視頻聊天室,視訊美女
視訊寬帶-視訊美女聊天交友-中國性愛城論壇-免費視頻聊天室哪個好,免費視訊
主播聊天室-視訊網絡聊天室第九視頻-3GP色情免費電影下載-好聊視頻聊天室下載,173免費視訊
同城聊天室-九聊視頻-大型色站社區論壇-真人視頻聊天室哪個好,104meme影音視訊聊天室
視頻聊-異性視頻交友-桃太狼成人社區-天下視頻聊天聊天室,金瓶梅視訊
情色電影全集-男人女人做愛視頻-靚少婦一夜情網-聊天室視頻聊天系列,免費視訊美女ing
真人裸體視頻-視訊1905電影網在線觀看-億性家成人論壇-免費下載uc視頻聊天室,外國免費視訊
裸體視頻網址-電影在線觀看免費網-西安夜生活論壇-免費開放黃視頻聊天室,173免費視訊聊天
女人赤身裸體視頻-土豆網電影在線觀看-東莞論壇-e夜情免費視頻聊天室,外國免費視訊網址
中國裸體視頻網址-愛上擼綜合成人網-東莞社區-免費視頻聊天室最開放,免費視訊一絲不掛
視頻網址大全-色人居情色網-騷妹妹成人論壇-台灣一對一視頻聊天室,國外免費視訊交友
視頻網址-亞洲xooo8綜合成人社區-草裙成人影院-同城午夜一夜情交友網站,免費視訊軟體
低調視頻庫網址-人妻管理員2視頻-望京論壇-同城午夜聊天室,173免費視訊美女
做一個愛視頻網址-天天色成人綜合網-望京社區-免費同城交友聊天室,免費視訊交友聊天
視頻網址解析-成人小說在線視頻-四川論壇-午夜良宵同城交友,live 173免費視訊
視頻製作網址-90後成人色情圖片-麻辣社區-台灣一對一視頻聊天室,173免費視訊秀
真人女裸體視頻-成人色系電影-水中色草榴社區-同城視頻聊天室最開放,免費視訊app
真人裸體聊天視頻-狼群影院-七月天情色論壇-同城交友一對一視頻,17t17p 論壇
真人裸體網站-伊人成人影院-九月天情色論壇-同城交友異性聊天室,173免費視訊聊天網
真人表演視頻網站-久久色悠悠綜合網-情色網論壇-寂寞同城交友聊天室,showlive聊天網
真人秀多人視頻-天天色綜合區-AV情色論壇-同城交友網絡聊天室,外國免費視訊網址
真人裸體視頻網站-操一操電影-xiaav論壇-同城交友網上聊天室,國外免費視訊交友
真人裸體電影-色夜AV影院-AV狼友論壇-午夜同城交友聊天社區,影音視訊聊聊天室
視頻真人秀網站-色AV成人網-人性本色情色論壇-午夜良宵同城交友,免費影音視訊聊聊天室
真人在線網頁遊戲-狼群影院-華娛情色論壇-QQ同城交友聊天室-午夜同城,視訊聊天室
大島優子裸體-色也色-貓貓論壇-午夜良宵網同城約會,live173影音live秀-免費視訊
視頻網站排行-哥也色蝴蝶谷-SEX女郎情色論壇-同城交友午夜影院,ut影音視訊聊聊天室
在線視頻網站你懂的-咪咪影院-微風論壇社區-一對一無費視頻聊天室,后宮視訊聊天室
視頻下載網站-情色咪咪網-動網論壇-免費一對一視頻聊天室,破解視訊聊天室
免費視頻聊天網-酒色網-矽谷動力論壇-俺去也成人視頻免費在線播放,168視訊聊天室
國外視頻網站-一一成人電影網-天極論壇-熱舞視頻表演聊天室,080視訊聊天室
台灣甜心辣妹視訊-青色波波首頁-台灣AV論壇-聊天室美女熱舞視頻,uthome視訊聊天室
台灣免費視訊-成人人妻小說-黃網情色社區-籃球寶貝熱舞視頻,大陸視訊聊天室
聊天室VIP破解版-有色成人網-快播色動漫-美女主播熱舞視頻,破解視訊聊天室
日本視訊聊天室-成人黃色三級片電影-小色哥娛樂社區-勁歌熱舞視頻
視訊聊天下載-色妹妹電影院-365情色網論壇-韓國美女主播熱舞視頻-美魔女
怎麼下載視頻-色姐姐綜合網-夜來香社區-酒吧夜店美女熱舞視頻,文字網愛聊天室
視頻下載網站免費-快播小說網-歐美成人影院-免費成人之美視頻網站
免費視頻裸聊-色小姐成人影院-男女色情小說-免費視頻表演聊天室,網愛情聊聊天室

发表评论