少校
- 注册时间
- 2009-5-17
- 金币
- 1544 个
- 威望
- 29 个
- 荣誉
- 5 个
尚未签到
|
由于时间有限，我在这里就给大家演示两种方法吧，当然还有其他的方法的！
$ P3 Q# a" \, p7 ~; W* b3 O, F. w5 {/ A, h/ i# f8 k
首先查壳，PECompact 1.68 - 1.84 -> Jeremy Collake" f% J% H o# J# f$ @0 ?3 Y
- ^6 d2 O' P' j, o$ S+ b2 o xOD载入
( _$ W2 P- F2 \/ G% h
: o- v7 ^/ m. ~6 a7 u方法一：单步法（忽略所有异常）
+ P' o. i# V; [2 d8 z+ D
! }4 I5 s$ C* i; a+ J大家先看一下我的操作，先做一个错误的示范。。。。4 i0 y$ v, O+ V7 Y) g
j8 h l) M4 R好的，继续看操作，这次是对的~~呵呵~8 ~" g, e" u+ q! N$ U: U. q2 n7 [% @
8 q. W$ Q' W3 L A
0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8
# n1 l. }7 V! `0040C002 |68 CC100000 push 10CC
6 [7 t i F# n. D) ?0040C007 |C3 retn
4 I1 |8 w% q0 T5 }5 H0040C008 \9C pushfd
! ]. c) ~, B% A2 i1 q3 Y! `0040C009 60 pushad
$ X* }) V9 }/ w- W0040C00A E8 02000000 call PECompac.0040C011 //F7过! h& S! g1 F8 B6 @2 B
。。。。。。。。。。0 ?/ j: ? @3 N$ Q R; P Q
0040D251 /0F84 9B000000 je PECompac.0040D2F2 //enter
+ M* @8 X8 g! v" k。。。。。。。。。。
/ J3 Y, X. Y: |; F
% t" r4 ?# U, f, q/ ]1 A呵呵~2无法运行，那我们就修复吧~看操作，，，，，可以啦~~~接下来我们有必要用LD做优化~减肥~OK~~~
9 ~$ F0 p9 g) }
" s4 U M: z' v7 o+ _8 ]
: c% _% ?7 }1 U( F4 A: i5 `4 }' M方法二：ESP定律（忽略所有异常）& g! X. g1 X' f1 G1 a
) S8 y% t$ P' g3 r* Z; S- H
0040C000 P> /EB 06 jmp short PECompac.0040C008 //停在这，继续F8
4 X4 u% E5 r* F, j0 \( }# s* `, L0040C002 |68 CC100000 push 10CC
! R. z; f( l7 F0040C007 |C3 retn
& q% i" u# Z7 t3 a y0040C008 \9C pushfd) W4 ?: `4 B j* Z7 L$ E
0040C009 60 pushad //ESP，突现，0012ffc0
& A( T& Z" _3 M$ x0040C00A E8 02000000 call PECompac.0040C011
" r. k" L' G, P$ p: {下命令行 hr 0012ffc0 回车，F9运行
: k2 x% c8 E$ K; f! ^0040D550 50 push eax //到这里了，继续F8（记得取消硬件断点^_^）: ]: V0 p* W; g0 A
0040D551 68 CC104000 push PECompac.004010CC
! m0 v) i- o* [- K5 L+ A0040D556 C2 0400 retn 4 //返回来到OEP( x- t# t+ `2 ^5 O [
。。。。。。。。。。。。。。。
. k8 x/ U2 }- E" [3 ^ C004010CC 55 push ebp 在这里dump就可以了
2 s) g' g% O% C* p7 I004010CD 8BEC mov ebp,esp
; c9 \& P" Y7 ~( f, [1 V004010CF 83EC 44 sub esp,44' o- m9 G7 j' O v
% i6 [* N! x" P! \很容易就到了OEP了~~
( X4 @1 |8 X$ Z6 M5 J$ f; j# t& B9 K3 t: C! J
* O4 e' U# h) M! N
方法三：内存镜像法
* A( R# l2 u) N! D, ^! a* C: I1 Y6 o! ^3 e/ N; x
大家可以做为课后作业去完成5 j8 h" l. R3 {& L- ?
n' `. v$ F! l8 x" R( J
还有就是应该可以用模拟跟踪法的~大家也可以试一下~~现在不早了~呵呵~ |
|
[复制链接]
IP卡
狗仔卡
发表于 2009-8-12 10:16
显身卡