手脫ASPack v2 12變形殼2

2022-09-15 09:30:15 字數 3026 閱讀 1272

1.peid載入

aspack v2.12
2.載入od，跟之前帖子的入口特徵相同，都是乙個pushad，但是請不要懷疑這是同乙個殼，絕對不是，pushad下一行esp定律下硬體斷點，然後shift+f9執行一次

0057e001 >  60              pushad                            ; //


程式入口點


0057e002    e8 03000000     call memcolla.0057e00a            ; //


esp定律


0057e007  -e9 eb045d45     jmp 45b4e4f7


0057e00c    


55push ebp


0057e00d


c3              retn


0057e00e    e8 


01000000     call memcolla.0057e014

3.esp落腳點，刪除硬體斷點繼續f8，注意，普通的aspack殼在注釋的地方會跳向oep，但是這個沒有

0057e3b0   /75


08           jnz short memcolla.0057e3ba       ; //


程式落腳點


0057e3b2   |b8 01000000     mov eax,0x1


0057e3b7   |c2 0c00         retn 0xc


0057e3ba   \


6800104000     push memcolla.00401000


0057e3bf    c3              retn                              ; 


//普通殼會在這裡跳向oep


0057e3c0    8b85 26040000   mov eax,dword ptr ss:[ebp+0x426


]0057e3c6    8d8d 3b040000   lea ecx,dword ptr ss:[ebp+0x43b]

4.步驟3的retn跳向的位置，到這裡繼續f8

00401000    87c0            xchg eax,eax                      ; //


跳轉的位置


00401002


fc              cld


00401003    80ec 00         sub ah,0x0


00401006    83f1 00         xor ecx,0x0


00401009


90              nop

5.這是乙個近call，f7跟進，然後繼續f8就可以到達oep了，需要注意的是中間有幾個向上跳轉，記得在下一行f4

0057d40d    e8 12000000     call memcolla.0057d424            ; //


f70057d412    80ca 00         or dl,0x0


0057d415    


50push eax                          


0057d416    9c              pushfd


0057d417    


58pop eax                           


0057d418    f6c4 


01         test ah,0x1


0057d41b  - 75 fe           jnz short memcolla.0057d41b

6.找到關鍵跳，f8一下就可以到oep了

0057d5a3    61


popad


0057d5a4    ba f8085000     mov edx,memcolla.005008f8


0057d5a9  - ffe2            jmp edx                           ; //


指向oep的關鍵跳


0057d5ab    0000            add byte


ptr ds:[eax],al


0057d5ad    


0000            add byte ptr ds:[eax],al

7.來到oep，可以脫殼了

005008f8    55              push ebp                          ; //


oep005008f9    8bec            mov ebp,esp


005008fb    83c4 f0         add esp,-0x10


005008fe    


53push ebx                          


005008ff    


56push esi                          


00500900    b8 10045000     mov eax,memcolla.00500410


00500905    e8 665ff0ff     call memcolla.00406870


0050090a    8b1d 


08415000   mov ebx,dword ptr ds:[0x504108


]   


00500910    8b35 9c415000   mov esi,dword ptr ds:[0x50419c]

8.執行，查殼

執行ok，查殼：borland delphi 4.0

手脫UPX殼方法介紹

方法1 單步跟蹤 f8單步跟蹤，向上不能讓他跳，有loopd迴圈也一樣 跳轉的下一行按f4 執行到選定位置，迴圈loopd在call下一句f4執行 只允許向下跳，如單步跟蹤call處程式執行，則需要過載程式，再call處f7跟進 近call f7,遠call f8 pushad 入棧 popad 出...

手脫64位UPX殼

背景 近期舍友不知道為啥忽然要漢化乙個gta的外掛程式，第一次聽說他要漢化，問了我一堆關於逆向的東西。由於外掛程式加了upx的殼 也是peid說的，我感覺是乙個很奇怪的殼 他搞不定於是發來給我。我平時也是逆向linux的elf檔案多一些，windows的而且還是64位的幾乎沒搞過，平時也沒脫過什麼殼...

ximo脫殼4 手脫FSG殼

基礎脫殼教程4 手脫fsg殼 fsg 2.0 bart xt 重點為修復 手動 查詢iat 一 單步跟蹤法 單步跟蹤就是和之前一樣的套路，直接單步向下，遇到向上跳轉直接用f4跳過就可以了，主要是在單步的時候注意一些跳轉，可能跳轉到的地方就是程式的oep 也有可能跳轉到oep的指令會被略過，所以要仔細...