少校
- 注册时间
- 2009-5-17
- 金币
- 1544 个
- 威望
- 29 个
- 荣誉
- 5 个
尚未签到
|
由于时间有限，我在这里就给大家演示两种方法吧，当然还有其他的方法的！
2 f6 h: N0 t: C! t
4 V. R# Z) L% b首先查壳，PECompact 1.68 - 1.84 -> Jeremy Collake1 }2 |% `, v6 S
: C1 U2 F! Q" XOD载入: I* \+ Z/ @) \" V% K- `9 G
" t$ n. ], q: D. A0 t方法一：单步法（忽略所有异常）
- F d. i9 p& G1 V7 O
& t$ @( f5 P# s4 H( v; B大家先看一下我的操作，先做一个错误的示范。。。。7 |* l3 L$ U8 u r7 I3 Z
( D. F9 {+ I9 ?$ y
好的，继续看操作，这次是对的~~呵呵~
( ]4 N3 H1 p+ O2 J
' w* h% v- M7 G, X0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8: N: I0 @6 Q) n7 W+ g" S8 o" q
0040C002 |68 CC100000 push 10CC
1 E: |0 N. L9 W/ w0040C007 |C3 retn
9 C/ Z# g6 S' T9 B: ?0040C008 \9C pushfd* H, N6 G! W0 L2 S4 e& ]! ]
0040C009 60 pushad
: t9 r- A/ W% `, R5 O3 ]0040C00A E8 02000000 call PECompac.0040C011 //F7过
4 a5 c$ Z1 ?1 Q$ B4 }4 y- c5 K。。。。。。。。。。( B" H- x/ W% F
0040D251 /0F84 9B000000 je PECompac.0040D2F2 //enter
6 f3 w* N" \) W1 \8 V。。。。。。。。。。/ L" @- [, t9 x
& M$ E* r6 K' A' A
呵呵~2无法运行，那我们就修复吧~看操作，，，，，可以啦~~~接下来我们有必要用LD做优化~减肥~OK~~~
! z1 r0 a; [* g/ B2 k3 i m% t) u; ?6 z8 i1 U! S+ m; ~: O0 j
% z2 S# q, c, R# ^$ l方法二：ESP定律（忽略所有异常）
4 b' A* ]# G: q0 F3 {. I7 m( @8 L8 i8 b( H4 _1 t* I
0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8
% k2 i F* w$ t% F0040C002 |68 CC100000 push 10CC7 U+ g( i% L/ A% R7 [1 k
0040C007 |C3 retn
6 C5 P5 {) V f8 b% u0040C008 \9C pushfd, m* M3 m, ]3 ?3 c: F
0040C009 60 pushad //ESP，突现，0012ffc07 V3 W. r) S* s* C
0040C00A E8 02000000 call PECompac.0040C011
* m. K' a0 R# A5 G4 @下命令行 hr 0012ffc0 回车，F9运行0 w1 f6 H( O2 l, `
0040D550 50 push eax //到这里了，继续F8（记得取消硬件断点^_^）, T$ O) X1 g" j3 b0 a& L6 j
0040D551 68 CC104000 push PECompac.004010CC; g2 m/ ? M" z2 H' l" S* M
0040D556 C2 0400 retn 4 //返回来到OEP1 i; ]- h( j7 M; F6 _7 N# h
。。。。。。。。。。。。。。。
; Y* }* j# R: K5 P0 P" N004010CC 55 push ebp 在这里dump就可以了' x. B5 h$ u7 B0 C4 W2 I- \: f
004010CD 8BEC mov ebp,esp
8 L! B+ }$ E" e/ \1 f9 \004010CF 83EC 44 sub esp,44
2 Z6 C8 v1 G1 D) F& {& _
3 @- u4 W5 I G% C- ~很容易就到了OEP了~~% K9 U! E1 f( ? H
! D4 R5 _5 \( a# S4 Q& _3 `9 g7 h3 v& T9 |5 r% S
方法三：内存镜像法" |; a2 R& S+ K; m) C" k/ v1 ~* q
. x8 w3 n$ L$ F! ~大家可以做为课后作业去完成$ M6 k; A0 A1 C I
$ ~& P- I4 l/ g2 n' L
还有就是应该可以用模拟跟踪法的~大家也可以试一下~~现在不早了~呵呵~ |
|
[复制链接]
IP卡
狗仔卡
发表于 2009-8-12 10:16
显身卡