手脱压缩壳UPX的4种查OEP方法

目录

 

先使用PEid进行查壳,可以看出壳的详细信息

方法一 单步跟踪

方法二 ESP定律法

方法三 两次内存镜像法

方法四 一步直到法


先使用PEid进行查壳,可以看出壳的详细信息

手脱压缩壳UPX的4种查OEP方法_第1张图片

 

方法一 单步跟踪

打开软件,发现pushad指令,如果未发现,在软件中运行一下,就会到pushad,然后一直进行向下单步操作

手脱压缩壳UPX的4种查OEP方法_第2张图片

发现有向上循环,在其循环的下一行,右键断点,F4在此行运行

手脱压缩壳UPX的4种查OEP方法_第3张图片

手脱压缩壳UPX的4种查OEP方法_第4张图片

循环进行上述操作,直至找到出栈命令,再往下进行查找,找到jmp跳转,发现跳转很大,疑似OEP

手脱压缩壳UPX的4种查OEP方法_第5张图片

发现下图这种界面,可右键单击分析,取消分析,就可以在灰色地方看见代码,在鼠标所点地方,右键单击OllyDump进行脱壳

手脱压缩壳UPX的4种查OEP方法_第6张图片

注意:复制修正入口点,以防表错误,重载输入表可不勾选

方式1脱壳

手脱压缩壳UPX的4种查OEP方法_第7张图片

可运行且已脱壳

手脱压缩壳UPX的4种查OEP方法_第8张图片

方式二脱壳

手脱压缩壳UPX的4种查OEP方法_第9张图片

发现方式二无法运行,打开软件,准备修复

手脱压缩壳UPX的4种查OEP方法_第10张图片

手脱压缩壳UPX的4种查OEP方法_第11张图片

手脱压缩壳UPX的4种查OEP方法_第12张图片

方法二 ESP定律法

 

 

手脱压缩壳UPX的4种查OEP方法_第13张图片

手脱压缩壳UPX的4种查OEP方法_第14张图片

手脱压缩壳UPX的4种查OEP方法_第15张图片

点击菜单调试--硬件断点--删除硬件断点

手脱压缩壳UPX的4种查OEP方法_第16张图片

方法三 两次内存镜像法

手脱压缩壳UPX的4种查OEP方法_第17张图片

手脱压缩壳UPX的4种查OEP方法_第18张图片

手脱压缩壳UPX的4种查OEP方法_第19张图片

 

手脱压缩壳UPX的4种查OEP方法_第20张图片

手脱压缩壳UPX的4种查OEP方法_第21张图片

 

手脱压缩壳UPX的4种查OEP方法_第22张图片

方法四 一步直到法

手脱压缩壳UPX的4种查OEP方法_第23张图片

 

手脱压缩壳UPX的4种查OEP方法_第24张图片

你可能感兴趣的:(壳技术)