脫殼

常用方法

esp定律
先步過
然後esp地址跟隨
然後選擇硬件斷點->word
然後運行,根據運行情況進行判斷
找到oep
映像起點:
查找內存
查看堆棧調用

最後進行將鏡像dump下來 用loadPE 矯正映像大小 然後完全轉存
修復輸入表 用importREC

手動查到IAT地址
尋找API函數 跟隨找到起始地址 計算大小

修改區段名 用loadPE

PE頭修改程序 處理方法
設置事件 系統斷點 然後查看mem 在PE頭設置斷點
alt+f9 運行到用戶代碼 然後單步找到oep 最後進行脫殼

附加數據的處理
查找到當前程序最後一個區段的結束位置
用WinHex 打開程序 跳轉地址複製
然後將複製的數據複製到你修復的程序最後

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章