手脱ASpack

原创 于 2021-01-29 13:46:27 发布 · 1.1k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

文章目录

声明

首先记住刚开始的时候ESP的值

单步调试

还是那句话，遇到向下的跳转让它实现，向上的直接F4就行
在这里插入图片描述

ESP的值是0x0133FBE4

第一个call（步入）

在这里插入图片描述

第二个call（步入）

在这里插入图片描述

第三个call（步过）（GetModuleHandleA）

在这里插入图片描述

第四个call（步过）（GetProcAddress）

在这里插入图片描述

第五个call（步过）（VirtualAlloc）

在这里插入图片描述

第五个call（步过）（VirtualAlloc）

在这里插入图片描述

第六个call（步过）（未知）

在这里插入图片描述

第七个call（步过）（VirtualFree）

在这里插入图片描述

第八个call（步过）（VirtualFree）

在这里插入图片描述

注意：
在这里插入图片描述
在0x6C23F时，因为此时是一个loop循环，然后下面是一个jump，而且是向上跳，所以直接在0x6C243按下F4

第九个call（步过）（GetModuleHandleA）

在这里插入图片描述

第十个call（步过）（GetProcAddress）

在这里插入图片描述

第十一个call（步过）（VirtualProtect）

在这里插入图片描述

第十二个call（步过）（VirtualProtect）

在这里插入图片描述
注意：这里有个向上跳转，然后跳转代码下行即是函数，前面已经有所介绍，所以直接在函数下一行按下F4即可

终点：

在这里插入图片描述
找到popad，然后下一行代码跳转让它实现，即到0x6C420，紧接着即到了OEP位置

在这里插入图片描述
ESP的值是0x0133FBE4，保持了ESP不变定律

ESP定律

找到ESP突变的点。（记住是突变（感觉应该就是变化很大））

在这里插入图片描述

ESP的值0xDEC000

执行完pushad之后：在这里插入图片描述
ESP的值0xB9FE94，即突变了，下面的操作是突变后立刻需要做的：

首先，dump数据区

然后设置硬件访问断点

在这里插入图片描述

特别注意，是硬件访问断点，千万别下成硬件写入断点和硬件执行断点

紧接着运行即可
在这里插入图片描述
然后就到达了下面这种代码：
在这里插入图片描述
随便单步运行几步就可看到
在这里插入图片描述

收尾

别忘了把硬件访问断点给删除了：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

单步直达

搜索操作：（ctrl +F）

在这里插入图片描述

第一次搜索后

在这里插入图片描述
不是，接着下一次搜索

第二次搜索(ctrl +L）：

直接ctrl +L
在这里插入图片描述
不是，接着下一次搜索

第三次搜索：

在这里插入图片描述
找到了。单步执行一下即可。

两次内存镜像

第一次断点（.rsrc）

在这里插入图片描述

然后运行

第二次断点（.text（偏移一般是1000））

在这里插入图片描述
然后运行

来到这里

在这里插入图片描述
单步向下运行几步即可

模拟跟踪

第一步：寻找

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
找到这种段的地址

第二步：搜索

在命令行里面搜索
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

输入：tc eip<0006C000 记住tc后面有个空格。。然后回车
在这里插入图片描述
紧接OD左上角这里会有跟踪字眼

SFX

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
然后就可以看到这种：
在这里插入图片描述
根据题目选择第二个或者第三个
在这里插入图片描述
然后点击
在这里插入图片描述
紧接着就到了这里
在这里插入图片描述

简单脱壳教程笔记(4)---手脱ASPACK壳
oBuYiSeng的博客
03-18 6733
本笔记是针对ximo早期发的脱壳基础视频教程，整理的笔记。        ximo早期发的脱壳基础视频教程 下载地址如下：            http://down.52pojie.cn/%E5%90%BE%E7%88%B1%E7%A0%B4%E8%A7%A3%E8%A7%86%E9%A2%91%E6%95%99%E7%A8%8B/ximo%e8%84%b1%e5%a3%b3%e5
学习ximo脱壳视频：2、手脱ASPACK壳
Jaychouzzk
04-22 462
所用工具：Ollydbg（吾爱版）   PEID v0.95运行环境：windows xp使用PEID v0.95进行查壳        此程序的壳为ASPack使用OD载入程序，ASPack壳查询OEP有6种方法，1.单步跟踪，2.ESP定律，3.一步直达，4.二次内存镜像，5.模拟跟踪，6.SFX现演示两次内存镜象法、模拟跟踪和SFX法来进行查询OEP一、两次内存镜像法首先使用OD 载入此程序...
手工脱壳之Nspack3.7教程
12-26
手工脱壳之北斗壳Nspack3.7的教程
脱壳入门(四)之nSPack3.7北斗压缩壳
w_g3366的博客
08-08 1444
脱壳入门(四)之nSPack3.7北斗压缩壳 一、寻找OEP 查壳：nSPack 3.7壳、编译器版本12.0(VS2013)、区段信息 寻找OEP 壳入口点就是pushad pushfd,可以用ESP定律脱壳，压栈完成后，esp下硬件断点 F7单步走到原程序入口点 二、Dump文件 三、修复文件 修复文件，可以成功运行，脱壳成功 ...
手动脱壳nSPack 3.7
曲终人散
08-02 2344
ESP定律的落脚点，可以看到落脚点下面一行就是一个大跳转，我们继续F8
手脱Aspack的几种方法
影月
09-21 719
第一种：1.OD载入后停留在这里：代码如下：0040B001 >  60              PUSHAD0040B002    E8 03000000     CALL 工程1.0040B00A0040B007  - E9 EB045D45     JMP 459DB4F70040B00C    55              PUSH EBP0040B00D    C3              RETN>>>>>>>>>>>>>>>>2.按下F8后，esp高亮ESP 0012FFA43.在数据窗
手工脱壳之AsPack压缩脱壳-随机基址
baochi8399的博客
07-18 1300
一、工具及壳介绍二、脱壳1、ESP定律脱壳2、单步跟踪脱壳3、基址重定位的修复 一、工具及壳介绍 使用工具：Ollydbg、PEID、ImportREC、LoadPE、010 Editor 查看待脱壳程序 查看AsPack壳特有的区段信息 小结：根据链接器版本推断待脱壳程序应该是VS 2013编...
第35章-手脱ASPack V2.121
08-03
我们要脱的壳是 ASPack，比 UPX 稍微复杂那么一点点，拿 UnPackMe_ASPack2.12.exe 作为实验对象，这个程序我们在第三十二章介绍 OEP 的时候遇到过，大家应该还记得吧。 在脱壳 ASPack 的过程中，我们使用 OD 的插件...
手工脱ASPack壳
08-09
【标题】：手工脱ASPack壳 在网络安全领域，逆向工程是一项重要的技能，而“手工脱ASPack壳”正是这一领域的一个关键话题。ASPack（Advanced Scratch Protector）是一款著名的软件压缩工具，它通过压缩和混淆代码来...
手动脱壳ASPack V2.121教程
这个过程展示了如何结合使用OllyDbg和OllyDump插件，通过手动步骤分析和脱去ASPack V2.121的壳，从而获得原始的未加壳程序。这不仅锻炼了逆向工程师的技能，也为理解程序保护机制和提高安全分析能力提供了实践机会。
NSPACK v3.7
02-02
nspack是国内一款优秀的加壳软件，是一款应用程序加壳工具,对 exe dll进行压缩
Nspack3.7
02-09
压缩壳\Nspack3.7.exe
nspack2.3(北斗压缩).rar
10-13
nspack2.3(北斗压缩).rar nspack2.3(北斗压缩).rar
北斗程序压缩 nSpack 3.7.rar
12-31
北斗程序压缩 nSpack 3.7.rar 用法 就不用我说 了吧
nspack脱壳，有动画演示哦
06-01
nspack脱壳，有 动画演示，呵呵，大家支持
手脱nSPack 3.7
weixin_30488313的博客
11-03 166
方法一： 1.OD查壳—nSpack3.7的壳 2. 载入OD 看起来很眼熟，F8一次，然后下面就可以使用ESP定律了，使用ESP定律下断点，然后F9四次 3.F9四次后落到这个位置 接下来就是不停F8了，注意点： ①F8过程中不管是向上跳还是向下跳我们都让他实现，按照正常逻辑，向上的跳转不是应该在下面一行下断跳过去吗？起初我也是这...
手脱aspack变形壳
weixin_43916678的博客
09-07 295
首先放进查壳软件里，什么也没查出，但是在EP那里显示“皇后”，有点不正常，后来得知事aspack变形壳。 放进OD里一开始就是一个大跳转，f8往下走。 用单步追踪法，遇到近call就跟进，远call就步过，00418609是近call，我们f7跟进。 进去函数里面之后一步步往下走，在0041862E这里有个跳转，这是个循环，如果选择F4跳过循环，那么程序会直接跑飞。 并且多循环几次就会发现...
nspack脱壳（手动，esp法）
weixin_45574485的博客
08-28 956
1.查壳，直接丢查壳工具就可以查看，进行重定位已分离（不知道的可以看我上一篇文章https://mp.youkuaiyun.com/mdeditor/100102533#） 2.用od打开，可以发现pushfd和pushad，f8单步执行两下，在右边选中esp，下硬件断点 3.f9执行到硬件断点，此时可以看到popfd和下面一个jmp，先f8一次 4.再f8一次，可以看到代码被od误解析成数据，此时，c...
Nspack3.7 Cracked by linex
Linhanshi Blog
06-01 865
FROM:http://www.unpack.cnDOWN:http://rapidshare.de/files/21909265/nspack3.7_cracked.rar.html
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

寻梦&之璐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值