手动脱RLPack壳实战

作者:Fly2015

吾爱破解论坛培训第一课选修作业练习的第7题。这个壳没听说过,但是脱起来比较简单,根据ESP定律即可直达光明,Dump出原来的程序。

 

老规矩,首先对需要脱壳的程序进行查壳处理。

使用DIE查壳的结果,程序加的是RLPack壳并且原程序是用微软编译器编译的。

手动脱RLPack壳实战_第1张图片

OD载入加壳程序进行调试分析,入口点代码反汇编快照。

手动脱RLPack壳实战_第2张图片

看到PUSHAD指令想都不要想,直接ESP定律脱壳。F8单走一步在ESP寄存器上设置硬件写入断点,然后F9运行程序,程序自然断在刚才设置的硬件断点处。

手动脱RLPack壳实战_第3张图片

显然JMP指令的跳转地址就是原来程序的OEP地址。F7跟过去,就可以看到熟悉的入口点反汇编代码。

手动脱RLPack壳实战_第4张图片

OK,现在可以使用Load PE结合ImportREC工具进行程序的进程DumpIAT表的修复了。

手动脱RLPack壳实战_第5张图片

运行一下脱壳完成的程序,证明脱壳成功。

手动脱RLPack壳实战_第6张图片

手动脱RLPack壳实战的文档和脱壳后程序的下载地址:http://download.csdn.net/detail/qq1084283172/8900731



你可能感兴趣的:(脱壳,手动脱壳,RLPack壳,脱RLPack壳,吾爱破解)