逆向---脱壳技巧

1.esp定律

步过pushad,esp寄存器下硬件断点,遇到jmp或者retn跳转到OEP

2.单步跟踪

一直F8步过遇到向上跳转的F4跳到当前位置,注意不要跑飞。

3.两次断点脱壳

1.OD载入程序,并打开【选项】-> 【调试选项】 -> 【异常】 -> 【忽略所有异常】。

2.不要运行程序,直接按下【Alt+ M】 切换到以下模块,选择.rsrc资源,并下一个【F2】断点。

3.接着按下【Shift+F9】,然后再次按下【ALT+M】,再次来到了这个位置,我们在【00401000】处下一个【F2】断点。

4.最后一次异常

自解压或自解密过程中, 可能会触发无数次的异常. 如果能定位到最后一次程序异常的位置, 可能就会很接近自动脱壳完成位置.

调试选项异常全部取消,【Shift+F9】定位到异常次数-1,看异常句柄单步调试。

5.SPX

调试选项->SFX->字节方式跟踪,然后查看左下角信息提示进度。时间效率比较慢。

6.模拟跟踪

OEP所在区段一般位于第一个区块处,而壳代码一般位于后几个区块

tc/toc命令是跟踪步进/步过 直到满足条件就暂停程序, toc eip < “SFX,输入表,资源”位置处的基地址。

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值