手脱Upack 2.x - 3.x

狂风中的少年 提交于 2020-03-23 13:47:13

1.PEID查壳

Upack 2.x - 3.x Heuristic Mode -> Dwing

2.载入OD,一上来就是一个大跳转,先F8跟一会

00401030 >- E9 56D40300     jmp 跑跑排行.0043E48B                 ; //程序入口点
00401035    42              inc edx                           ; 跑跑排行.<ModuleEntryPoint>
00401036    79 44           jns short 跑跑排行.0040107C
00401038    77 69           ja short 跑跑排行.004010A3
0040103A    6E              outs dx,byte ptr es:[edi]
0040103B    67:40           inc eax                           ; kernel32.BaseThreadInitThunk
0040103D    0000            add byte ptr ds:[eax],al

 

 

3.来到这里,我们看到一个push,可以使用ESP定律,下硬件访问断点,然后shift+F9运行一下

0043E49B    F3:AB           rep stos dword ptr es:[edi]
0043E49D    AD              lods dword ptr ds:[esi]
0043E49E    50              push eax                          
0043E49F    97              xchg eax,edi                      ; //ESP定律
0043E4A0    51              push ecx
0043E4A1    58              pop eax                           
0043E4A2    8D5485 5C       lea edx,dword ptr ss:[ebp+eax*4+0>

 

 

4.ESP落脚点,这里就是落脚点了,别忘了清除硬件断点,然后继续F8,记住基本原则,向上跳转的下一行F4

0043E60E   /E3 1B           jecxz short 跑跑排行.0043E62B         ; //ESP落脚点
0043E610   |8A07            mov al,byte ptr ds:[edi]
0043E612   |47              inc edi                           
0043E613   |04 18           add al,0x18
0043E615   |3C 02           cmp al,0x2
0043E617  ^|73 F7           jnb short 跑跑排行.0043E610           ; //向上跳转的下一行F4
0043E619   |8B07            mov eax,dword ptr ds:[edi]
0043E61B   |3C 01           cmp al,0x1

 

 

5.经常脱壳的朋友应该发现了,这里应该就是指向OEP的关键跳转了(因为第二列中间有个横杠),但是你会发现F8跳不过去,跳转没有实现,因为跳转的上一行”or eax,eax”这句话不解释了,需要一定的汇编基础,http://www.52pojie.cn/thread-420306-1-1.html可以在这个界面对照着查一下,也许你会懂,不懂我也没办法,然后我们需要做的是在这个跳转这行右键—断点—条件—输入”eax==0”—F9—F8,这样我们就实现了他的跳转

0043E631    46              inc esi                           
0043E632    AD              lods dword ptr ds:[esi]
0043E633    09C0            or eax,eax                        
0043E635 >- 0F84 E3BDFCFF   je 跑跑排行.0040A41E                  ; //指向OEP的跳转
0043E63B    56              push esi                          
0043E63C    97              xchg eax,edi                      
0043E63D    FF53 FC         call dword ptr ds:[ebx-0x4] 

 

6.来到OEP,可以脱壳了

0040A41E    55              push ebp                          ; //来到OEP
0040A41F    8BEC            mov ebp,esp
0040A421    6A FF           push -0x1
0040A423    68 C8CB4000     push 跑跑排行.0040CBC8
0040A428    68 A4A54000     push 跑跑排行.0040A5A4
0040A42D    64:A1 00000000  mov eax,dword ptr fs:[0]
0040A433    50              push eax
0040A434    64:8925 0000000>mov dword ptr fs:[0],esp
0040A43B    83EC 68         sub esp,0x68

 

 

7.运行,查壳

运行OK,查壳:Microsoft Visual C++ v6.0
标签
易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!