作者：Fly2015

PeCompact壳又是一个没有听说过的壳，需要脱壳的程序是吾爱破解培训的第一课的选修作业四。最近对脱壳有点上瘾了，当然也遭受了脱壳受挫的无奈，但是比较幸运还是把这个壳给搞了。

对加壳程序进行查壳。

工具DIE显示程序加的是PeCompact壳，并且原来没加壳的程序使用Microsoft Visual C/C++(2008)编写的，这一点对于查找原程序的真实OEP非常有帮助。

OD载入加壳的程序进行分析，加壳程序的入口点的汇编代码。

F8走了几步，坑啊，写壳的作者在代码中设置了异常，例如上图中标识的指令就会导致F8单步的时候触发向地址0赋值的异常，即使将这两条指令Nop掉，后面的指令中F8单步跟踪也会触发异常。

要对这个加壳程序进行脱壳，就必须规避触发指令中异常的问题。是不是不能处理呢？还是有办法规避异常问题的，还好加壳的作者比较善良。

既然F8单步的方法不能处理，那就想另外的办法对加壳程序进行脱壳。Ctrl+F2再次载入该加壳程序进行调试分析，并在函数VirtualProtectA和VirtualProtectExA上设置断点（直接使用OD提供的API设置断点插件在API函数的上设置断点），如图。

F9运行4次，此时OD中的程序的状态如图。坑啊，这个壳的IAT表在不经意中就被暴漏了，IAT表的起始地址VA为432000。

Alt+F9让程序从系统临空回到用户程序的临空，停在用户程序的指令代码中如图。

Ctrl+F9执行完所在的函数到Retn指令处，F8单步回到上一层的调用方函数中如图。

Ctrl+F9再次执行完所在的函数到Retn指令处，F8单步回到上一层的调用方函数中如图。

离脱壳已经很近了，直觉告诉地址00455D8E  jmp eax中EAX保存的值就是原程序真实OEP的地址。

在地址00455D8E处F2断点，F4/F9运行到此处，得到EAX=0041DDAC即为原程序真实的OEP的VA地址。

F7单步跟进到地址0041DDAC处，选中部分内存数据，Ctrl+A分析内存数据，终于见到了光明。

OK，原程序的OEP找到了，使用Load PE和RECImport 工具或者Scylla工具进行程序的完美脱壳，IAT表的修复也比较顺利。

运行一下脱壳后的程序，证明脱壳成功。


手动脱PeCompact 2.20壳的文档分析和脱壳后程序的下载地址：http://download.csdn.net/detail/qq1084283172/8900459

手动脱PeCompact 2.20壳实战的更多相关文章

  1. <逆向学习第二天>如何手动脱UPX、Aspack壳

    UPS.AsPack压缩壳介绍: UPX .AsPack是一款先进的可执行程序文件压缩器.压缩过的可执行文件体积缩小50%-70% ,这样减少了磁盘占用空间.网络上传下载的时间和其它分布以及存储费用. ...

  2. 手动脱Mole Box壳实战总结

    作者:Fly2015 这个程序是吾爱破解脱壳练习第8期的加壳程序,该程序的壳是MoleBox V2.6.5壳,这些都是广告,能够直接无视了.前面的博客手动脱Mole Box V2.6.5壳实战中已经给 ...

  3. 手动脱RLPack壳实战

    作者:Fly2015 吾爱破解论坛培训第一课选修作业练习的第7题. 这个壳没听说过.可是脱起来比較简单.依据ESP定律就可以直达光明,Dump出原来的程序. 老规矩.首先对须要脱壳的程序进行查壳处理. ...

  4. 手动脱WinUpack 壳实战

    作者:Fly2015 吾爱破解培训第一课选修作业第6个练习演示样例程序.不得不反复那句话,没见过这样的壳,该壳是压缩壳的一种,相对于压缩壳,加密壳的难度要大一些.特别是IAT表的修复问题上. 首先分别 ...

  5. 手动脱KBys Packer(0.28)壳实战

    作者:Fly2015 吾爱破解培训第一课选修作业第5个练习程序.在公司的时候用郁金香OD调试该加壳程序的时候出了点问题,可是回家用吾爱破解版的OD一调试,浑身精神爽,啥问题也没有. 首先使用查壳工具对 ...

  6. 手动脱UPX压缩壳

    示例程序演示 样例程序选择win7自带的notepad.exe,该程序原本是没有加壳的: 拷贝notepad.exe文件一个副本,重命名为notepad - upx.exe,我们对notepad - ...

  7. 脱壳第二讲,手动脱壳PECompact 2.x

    脱壳第二讲,手动脱壳PECompact 2.x PS: 此博客涉及到PE格式.所以观看此博客你要熟悉PE格式 首先,逆向inc2l这个工具,汇编中可能会用的 inc头文件转换为lib的工具 但是他有壳 ...

  8. 手动脱NsPacK壳实战

    作者:Fly2015 这里脱壳的程序是吾爱破解培训的作业2,相较于作业1略微要强一点,可是仅仅要掌握了脱壳的ESP定律,脱这个Nspack壳并不难.只是还是蛮有意思的. 1.使用查壳软件对加壳的程序进 ...

  9. 手动脱UPX 壳实战

    作者:Fly2015 Windows平台的加壳软件还是比較多的,因此有非常多人对于PC软件的脱壳乐此不彼,本人菜鸟一枚,也学习一下PC的脱壳.要对软件进行脱壳.首先第一步就是 查壳.然后才是 脱壳. ...

随机推荐

  1. Chrome网页截图步骤

    按F12弹出开发者工具 切换到Console栏目 按Ctrl + p 快捷键弹出命令输入框 输入>cap或者>screenshot就会看到好几个截图选项,选择一种你需要的截图方式即可,然后 ...

  2. salesforce零基础学习（一百零一）如何了解你的代码得运行上下文

    本篇参考:https://developer.salesforce.com/docs/atlas.en-us.228.0.apexcode.meta/apexcode/apex_enum_System ...

  3. C# 应用 - 使用 WepApp 处理文件上传、下载请求

    1. 代码 /// <summary> /// 文件上传下载控制器 /// </summary> public class FileController : ApiContro ...

  4. Python中if __name__ = "__main__"的理解

    通俗的理解__name__ ="__main__"的意思就是:当.py文件被直接运行时,if __name__ = "__main__"之下的代码快将被运行:当 ...

  5. 【.NET 与树莓派】小风扇模块

    小风扇,其实就是一个电机(马达),然后轴子上套一个扇叶.扇叶有两叶的,也有三叶的.这种我们小时候没少玩,太阳能帽子上就有一个小风扇,骑着自行车上学,路上只要有太阳光照射到,小风扇就会转.当然还有装干电 ...

  6. 振兴中华（蓝桥杯13年第四届省赛真题 JAVA-B组）

    思路:因为只能横向或纵向跳到相邻的格子里,所以到'华'字有两种方法:①从左边的中横向跳过来 ②从上边的中纵向跳过来 直接递推即可. 标题: 振兴中华 小明参加了学校的趣味运动会,其中的一个项目是:跳格 ...

  7. Web安全(更新中)

    sql注入 创建一个数据库 create database admin1; 查询数据库 查看所有数据库 show databases; 使用该数据库    use admin1; 创建一个表 创建一个 ...

  8. 基于Hive进行数仓建设的资源元数据信息统计：Hive篇

    在数据仓库建设中,元数据管理是非常重要的环节之一.根据Kimball的数据仓库理论,可以将元数据分为这三类: 技术元数据,如表的存储结构结构.文件的路径 业务元数据,如血缘关系.业务的归属 过程元数据 ...

  9. CDN域名解析问题

    CDN域名解析问题 之前配置CDN域名解析,碰到一个配置带www的域名和不带www的域名,这里就有个解析的坑,已经将cdn域名都配置好的,但是一直访问不了,白屏现象 后面排除源站问题和cdn配置问题, ...

  10. ClickHouse性能优化？试试物化视图

    一.前言 ClickHouse是一个用于联机分析(OLAP)的列式数据库管理系统(DBMS):目前我们使用CH作为实时数仓用于统计分析,在做性能优化的时候使用了 物化视图 这一特性作为优化手段,本文主 ...