少校
- 注册时间
- 2009-5-17
- 金币
- 1544 个
- 威望
- 29 个
- 荣誉
- 5 个
尚未签到
|
由于时间有限，我在这里就给大家演示两种方法吧，当然还有其他的方法的！! e# ]1 v A9 @9 ]
+ Y' A* E4 o' W9 a8 x% `
首先查壳，PECompact 1.68 - 1.84 -> Jeremy Collake
* ~5 F" r0 r) X8 A9 m& o* \& g: i# F+ {9 p
OD载入$ {6 Z+ |5 n% L7 b7 C$ s, i
* ?& c" i' |# v* |6 N方法一：单步法（忽略所有异常）8 ~: c. V. @# O Q$ h b
9 r" h0 E; v5 N
大家先看一下我的操作，先做一个错误的示范。。。。( v, s' B7 Y1 T0 S: ^! g7 ?9 E
$ O% f6 O0 ~) ]% h/ d
好的，继续看操作，这次是对的~~呵呵~
5 \6 h+ j' r1 r5 p0 X4 a2 H, V" p# K
0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8
6 a2 G, s% j1 F! H. \7 @1 g0040C002 |68 CC100000 push 10CC
+ ^" D) C: j+ S, F1 m7 {) B0040C007 |C3 retn
% h/ m; S; D! H; j; P0040C008 \9C pushfd
! a" p- W5 T& Z0040C009 60 pushad
& I1 Y/ g8 l7 K+ q% C) Q6 Y0040C00A E8 02000000 call PECompac.0040C011 //F7过
! Q* S }" Z; Z0 A。。。。。。。。。。, Z6 o/ G1 F5 U L! t: Q
0040D251 /0F84 9B000000 je PECompac.0040D2F2 //enter+ w2 b& ~: d: O! A
。。。。。。。。。。5 F' f( e$ u; w3 N ?) @
5 z4 C5 ^2 Z* i6 j1 F' H
呵呵~2无法运行，那我们就修复吧~看操作，，，，，可以啦~~~接下来我们有必要用LD做优化~减肥~OK~~~4 P! v/ b4 I1 [3 H
3 x) p9 M6 {* k9 f$ i7 _' ]7 c* O
* Q; j! s4 w3 w8 Q3 u& F9 M* _
方法二：ESP定律（忽略所有异常）
" w# k6 h9 h a4 q! x$ c$ C( H0 Y8 ?. A0 H0 s
0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8' h, O+ c0 w* H
0040C002 |68 CC100000 push 10CC
h2 U. n( x% s: w% k0040C007 |C3 retn: f0 S) [+ w/ d8 {
0040C008 \9C pushfd# @* [2 d8 A. Z7 ]6 e7 {
0040C009 60 pushad //ESP，突现，0012ffc0
: D% f, k, h% t+ p; h0040C00A E8 02000000 call PECompac.0040C011/ ?/ t3 d, U( Q0 G2 U/ q$ F
下命令行 hr 0012ffc0 回车，F9运行
9 K% H! H7 @7 J: l0040D550 50 push eax //到这里了，继续F8（记得取消硬件断点^_^）4 n$ H8 G7 }& g3 ], K4 O) l: F
0040D551 68 CC104000 push PECompac.004010CC
# w: S6 O1 l+ ~, n, H; M7 a0040D556 C2 0400 retn 4 //返回来到OEP; R9 Z2 E- f( T& H* I: h
。。。。。。。。。。。。。。。4 a/ E, S4 z- q
004010CC 55 push ebp 在这里dump就可以了
, N* a/ Y# S6 g004010CD 8BEC mov ebp,esp* k5 n: D. p5 u: y/ q' c
004010CF 83EC 44 sub esp,44
7 p+ L1 b$ K, E, V7 D' {. j+ J# |: Z8 i( m$ d6 z; T; I; M
很容易就到了OEP了~~
$ @3 ?( T" ?& w% N% k* |. m6 e6 _& D& E/ C
7 }- I2 J1 i7 U$ V
方法三：内存镜像法5 b1 B% a0 V! E7 L4 x ^( L
3 \5 h! E* ^4 I* O' T% o
大家可以做为课后作业去完成
/ Y) c5 P+ [( G/ t7 F X6 t9 t" c/ u' @ w' P) `
还有就是应该可以用模拟跟踪法的~大家也可以试一下~~现在不早了~呵呵~ |
|
[复制链接]
IP卡
狗仔卡
发表于 2009-8-12 10:16
显身卡