简单脱壳教程笔记(6)---手脱FSG壳

           本笔记是针对ximo早期发的脱壳基础视频教程,整理的笔记。 本笔记用到的工具下载地址:

http://download.csdn.net/detail/obuyiseng/9466056

简介:

FSG壳是一款压缩壳。

工具:ExeinfoPE或PEid、OD、LordPE、ImportREConstructor
脱壳文件:04.手脱FSG壳.rar

寻找OEP

我们使用单步跟踪法,找到如下位置,我们发现一个比较特殊的现象,有三个跳转,其中无条件跳转寄存器中的距离,是一个比较大的跳转。

那么就可以猜测,无条件跳到的位置是OEP的位置。

简单脱壳教程笔记(6)---手脱FSG壳_第1张图片

我们运行到该无条件跳转处,然后单步就会进入到OEP中。

OEP

简单脱壳教程笔记(6)---手脱FSG壳_第2张图片

脱壳

我们使用之前的方法,会发现程序运行不了的。此时,我们需要手动修复IAT,。

原来的

简单脱壳教程笔记(6)---手脱FSG壳_第3张图片

我们OD中随便找一个调用系统的API的Call ,然后在命令行处 输入 “d xxxx”,回车。

简单脱壳教程笔记(6)---手脱FSG壳_第4张图片

然后将数据窗口向上拖,知道起始位置,并计算出RVA=VA(00425510) - 减去加载基址(00400000 )

简单脱壳教程笔记(6)---手脱FSG壳_第5张图片

让后向下拖,到含有都是0的位置,并计算出大小

            

           接着进行获取导入表,显示无效的,去除无效的,然后修正转存即可。

           去除无效的图

             简单脱壳教程笔记(6)---手脱FSG壳_第6张图片

你可能感兴趣的:(简单脱壳教程笔记(6)---手脱FSG壳)