手工脱壳练习

最新推荐文章于 2025-07-27 22:03:33 发布
最新推荐文章于 2025-07-27 22:03:33 发布
阅读量135 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Cfoxer/article/details/130921395
文章讲述了通过单步调试技术，如步入、步过和运行到光标处，结合ESP定律来寻找程序的原始入口点(OEP)。在调试过程中，关注jmp和call指令，利用堆栈平衡在解密后设置硬件断点，以及使用X64debug的插件进行IAT修复和Dump分析，以高效定位OEP。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

单步调试跟踪

单步跟踪法的原理就是通过单步调试（步入、步过）和运行到光标处等功能，完整走过程序的自脱壳过 程，跳过一些循环恢复代码的片段，并用单步进入确保程序不会略过 OEP。

遵循的原则：

  1. 按 F8 单步向下，尽量实现向下的 jmp 跳转

  2. 会经常遇到大的循环，这时要多用 F4 来跳过循环

  3. 如果壳代码入口点不远处就是一个 call(近 call)，尽量不要直接跳过，而是进入这个 call

  4. 一般跳转幅度大的 jmp 指令，都极有可能是跳转到了原程序入口点 (OEP)
    更据上述原则单步,到后面会发现触发关键字,popad并且看到一个大跳
    在这里插入图片描述
    这就是找到了oep

ESP定律

是脱壳的利器, 是应用频率最高的脱壳方法之一，它的原理在于利用程序中堆栈平衡来快速 找到 OEP。

由于在程序自解密或者自解压过程中，不少壳会先将当前寄存器状态压栈，如使用 pushad ，在解压结 束后会将之前的寄存器值出栈，如使用 popad 。因此在寄存器出栈时，往往程序代码被恢复，此时硬 件断点触发。然后在程序当前位置，只需要少许单步操作，就很容易到达正确的 OEP 位置。

  1. 程序刚载入开始 pushad/pushfd
  2. 将寄存器压栈后就在 ESP/RSP 寄存器所在地址处设硬件访问断点
  3. 运行程序，触发断点
    在这里插入图片描述
    在这里插入图片描述
    找到和上面一样的OEP点了

命令检索

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
再次找到OEP

Dump以及IAT修复

在这里插入图片描述
X64debug自带的插件
在这里插入图片描述
使用高级方法,找到重定位
在这里插入图片描述
然后点击确定,点击get imports,再点击fix dump
先后会在桌面生成
在这里插入图片描述
dump.exe和dump_scy.exe
在这里插入图片描述
勾选第四行
在这里插入图片描述
取消勾选第一行
然后保存

CTF REVERSE练习之脱壳分析
xnxqwzy的博客
07-30 598
今天要介绍脱壳分析的实验。壳，在自然界中，植物用壳来保护种子，动物用壳来保护身体等。同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。他们附加在原程序上通过Windows加载器载入内存后，先于原始程序的执行，得到控制权，执行过程中对原始程序进行解密和还原操作，还原后再把控制权交给原始程序，执行原来的代码部分。加上外壳后，原始程序代码在磁盘文件中一般是以加密后的形式存在的，只在执行时在内存中还原，这样就可以比较有效地防止破解者对程序文件的非法修改，同时也可防止程序被静态反编译。
CTF-REVERSE练习之脱壳分析
ChuMeng1999的博客
11-29 1397
目录预备知识相关实验壳UPX实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 相关实验 本实验要求您已经认真学习和完成了《CTF REVERSE练习之逆向初探》。 壳 在自然界中，植物用壳来保护种子，动物用壳来保护身体等。同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。他们附加在原程序上通过Windows加载器载入内存后，先于原始程序的执行，得到控制权，执行过程中对原始程序进行解密和还原操作，还原后再把控制权交给原始程序，执行原来的代码部分。加上外壳后，原始程序代码在磁盘
使用单步跟踪_手工脱壳
weixin_30341745的博客
07-05 300
通常在软件的破解过程中，会遇到代码经过混淆器混淆的程序，此类混淆器可以称之为壳，壳又可分为压缩壳（常见的有UPX、北斗、ASDPack、Npack、PECompact等）和保护壳（如强壳Safengine、VMprotect、winlicense、Themida等），压缩壳作用是把程序进行体积缩小化处理，保护壳主要作用是混淆或加密代码防止他人进行逆向程序、破解程序。我们可以通过一些侦壳程序进行识别...
upx手动脱壳学习笔记
sirrior的博客
11-24 3110
2. 加壳的程序在开始时，需要对寄存器进行push操作，在加密程序结束后（可以将壳看作一个加密程序） pop回寄存器的值。（任何的壳都有一个目的，让程序认为操作系统的环境是透明的，没有受到壳的阻挡。1（最简单）对rsp下断点，直接追踪到pop（原理：push将四个寄存器中的值进行压栈，rsp指向栈顶，故rsp寄存器的值会发生变化。而脱壳结束时的pop指令会使将四个寄存器中的值出栈，即复原了RSP。oep：orignal entry point：未加壳的程序的真正的入口点，是手动脱壳的目标。
【2022.1.3】手脱压缩壳练习（含练习exe）
qq_35289660的博客
03-04 1135
记录练习手脱壳（简单的压缩壳），都有对应练习exe。
脱壳练习之未知壳（04）
weixin_45574485的博客
08-29 654
1.第一步，查壳，无法识别出编译语言和linker是什么 2.将文件用od打开，可以看到pushad和pushfd，f8两步之后对esp下硬件断点。 3.f9执行到刚下的断点，f8继续，会看到popad，继续f8，到下一个jmp，f8进入jmp，发现下一条指令是jmp eax，f8继续跟，这时，出现的界面是否觉得很熟悉，没错，这里就是oep，记住这个oep的地址：47148B。 4.看到...
idea调试源代码c语言,IDEA阅读spring源码并调试
weixin_28740299的博客
05-20 731
目标：搭建起Spring源码阅读和代码调试跟踪的环境，顺便建立一个简单的Demo，能够调试Spring的源代码本节，主要介绍一下Spring源码阅读和调试的相关环境搭建，并使用MVN创建一个非常简单的Demo，以便可以跟踪和调试Spring的内核。1、源码的下载Spring的源码可以从GitHub上下载：https://github.com/spring-projects/spring-frame...
【机器学习-01】机器学习基本概念与建模流程
qq_24428851的博客
07-18 982
当然，在具体的最优化方法的选择上，函数本身的性质是重要影响因素，也就是说，不同类型、不同性质的函数会影响优化方法的选择。其实从更严格的意义上来说，凸函数的最小值点其实是根据边界点和驻点（导数为0的点）决定，如果没有边界点且没有驻点，则函数没有最小值（例如y=x），如果存在边界点，但没有驻点，则边界点的一侧就是最小值点，如果存在驻点（且左右两边单调性相反），则驻点就是最小值点，例如，对于$ y = x^2 $而言，$ y^{'} = 2x $，2x = 0时x取值为0，也就是0点就是最小值点。
脱壳练习(0)-动态调试1代脱壳
葱花炒蛋的博客
01-19 5704
脱壳练习(0)-动态调试1代脱壳
脱壳练习05（NSpack3.x）
weixin_45574485的博客
08-30 883
1.脱壳老规矩，第一步，查壳，可以看到该壳是NsPack（3.x）的壳。（这里给个忠告，脱壳前一定要清楚是什么壳，今天对这个脱壳的时候就闹了个笑话，最开始只知道有壳，也没仔细去看什么壳，结果修复导入表的时候，按照常规方法脱，程序打开失败了，其实前面也写过一个nspack的壳脱壳，当时要是注意到这是nspack的壳，可能会少走一部分弯路） 2.第二步，用od打开程序，可以发现没有什么明显的push...
脱壳练习(1)-360加固2，3代脱壳心得简记
葱花炒蛋的博客
01-29 9571
这篇博客就记一下自己脱360加固2，3代的过程吧。毕竟作为一个android逆向入门小菜完全靠自己脱壳是不大现实，事实上也是借鉴了不少大佬们的博客，当然碰到了可遇而不可求的一代壳的话那是当然要垂死挣扎，好好搞明白，总要由简入深，在此基础当初当然是ida的动态调试了，详细请参看上篇博客脱壳练习(0)-动态调试1代脱壳 因为是参照网上资料做出来的，所以就简单写下心得吧 360二代脱
脱壳练习(2)-最新免费版梆梆加固脱壳笔记
热门推荐
葱花炒蛋的博客
04-01 1万+
直接开始吧，末尾有附件。1.    java层分析常规操作添加了一个application的入口，并加载了壳so libSecShell.so.当dex加载完后通过这两个函数进行真正的application替换。大概看一下其他文件。DexInstall大概是根据不同的sdk，进行dex的加载；Dex的一般加载流程为：Java层：替换classLoader –> 初始化DexPathList ...
点击劫持：潜藏在指尖的安全陷阱
最新发布
fys15925190510的博客
07-27 968
随后，通过代码将这些恶意元素设置为全透明状态，并精准覆盖在用户可能点击的正常按钮上，如 “关闭广告”“查看详情” 等。在网页端，攻击者可能搭建一个看似正常的视频网站，当用户点击 “播放” 按钮时，透明的恶意元素会引导用户点击 “确认下载某软件”，而该软件实则为病毒或挖矿程序。例如，当用户在某款工具类 APP 中点击 “领取优惠券” 时，实际触发的是 “允许该应用发送付费短信” 的授权弹窗，导致手机被强制扣除话费。例如，点击后弹出带有随机验证码的确认框，或要求用户拖动滑块完成验证，确保操作是用户的真实意图。
去中心化时代的通信革命：briefing与cpolar技术融合带来的安全范式革新
qq_62662919的博客
07-26 975
摘要：本文介绍如何在Linux Ubuntu系统使用Docker本地部署开源视频会议系统briefing，并通过cpolar内网穿透实现远程访问。briefing具有端到端加密、多因素认证等安全特性，支持高清视频通话和屏幕共享。Docker部署仅需一条命令即可完成，cpolar工具可创建公网地址实现异地访问。文章详细讲解了从Docker安装、briefing部署到cpolar配置的全过程，并提供了固定域名的方法，帮助用户无需公网IP即可搭建私有视频会议系统，兼顾安全性与便捷性。
【安全漏洞】网络守门员：深入理解与应用iptables，守护Linux服务器安全
07-26 1239
Linux中iptables的深入理解与应用
【资讯】2025年软件行业发展趋势：AI驱动变革，云原生与安全成核心
weixin_56334307的博客
07-26 1111
2025年的软件行业正经历AI驱动的生产力革命，云原生与安全成为企业核心竞争力，低代码重塑IT人才结构，开源生态在争议中探索新商业模式。拥抱技术变革并建立敏捷响应机制的企业，将在这场数字化转型浪潮中占据先机。
TestWin脱壳练习教程与探讨
【标题】: "TestWin 脱壳练习" 【知识点】: 1. **脱壳的基本概念**： "壳"（也称为"保护壳"）是一种软件保护技术，用于加密和压缩可执行程序，目的是防止程序被轻易的逆向工程分析和非法复制。脱壳指的是去除程序...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

G_BEST

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值