手工脱壳之FSG压缩壳-IAT表修复

目录

• 一、工具及壳介绍
• 二、脱壳
  • 2.1、单步跟踪脱壳
  • 2.2、IAT修复
• 三、程序脱壳后运行截图
• 四、个人总结
• 五、附件

一、工具及壳介绍

使用工具：Ollydbg、PEID、ImportREC、LoadPE
FSG壳 2.0：

二、脱壳

2.1、单步跟踪脱壳

• 因为FSG是压缩壳，所以脱壳最应该尝试的是ESP定律，其次就是单步跟踪，使用OD载入程序，发现入口没有PUSHAD/PUSHFD指令，单步观察堆栈变化

• 程序一开始并没有保存环境，遇到这种情况单步继续跟踪，发现有解密代码的地方

• 继续单步跟踪，不进入CALL，线性分析代码，很快找到了修复IAT的地方。继续跟踪。

• 找到跳出循环修复IAT的地方，到达跳转到原始OEP的地方。

• JMP DOWRD PTR DS:[EBX + 0XC]

• 随后，在原始OEP（4011D2）处dump文件，在使用ImportREC修复IAT即可。

• 在使用ImportREC修复IAT发现不能完整识别所有的导入函数。

• 使用OD观察IAT，发现两个模块的函数之间被填充成了FFFFFFFF，末尾填充了7FFFFFFF。

2.2、IAT修复

• 将FFFFFFFF和7FFFFFFF都改为0，在使用ImportREC重新获取。

• 这次成功获取，然后修复转存的文件即可。

三、程序脱壳后运行截图

四、个人总结

通过手工脱壳，了解到FSG壳对IAT表进行了处理，导致使用ImportREC无法识别出全部的IAT，及如何手工修复IAT表使ImportREC识别。

五、附件

FSG.exe