二次内存镜像脱壳演示；找到OEP之后无法脱壳：无法读取内存，Bad DOS Signature解决方法

最新推荐文章于 2025-07-22 10:20:05 发布
转载 最新推荐文章于 2025-07-22 10:20:05 发布 · 1.3k 阅读 · 0

本文探讨了在WindowsXP环境下使用LordPE修正镜像大小后仍无法通过F2设置中断及dump内存的问题。提供了使用内存断点替代方案，并附有详细操作步骤。

刚开始直接F2设置中断，会出现无法读取内存，Bad DOS Signature的情况：

在Windows XP下尝试使用LordPE，修正镜像大小后再右键 完整转存也不行

F2断点，无法dump内存，可以用内存断点： 

再走一遍，点击上面的m： 

run

再打内存断点

具体动画演示见：http://kxdkxd.f3322.net:8089/od.htm

uiop_uiop_uiop
关注
【脱壳-寻找OEP】通过内存定位OEP实现脱壳
这个人很懒什么都没有留下
10-19 735
注意：不需要去断加壳程序原本的代码断，因为他本身的代码断是做解密 还原 写入的，没必要在他本身做断点。这次用的也是UPX的壳，载入特殊od后可以看到upx的壳是在我们原始oep的代码外面，UPX0里面才包含我们的原始入口点，UPX1是不包含的，UPX1这块就对 解密 还原 写入这三个步骤进行操作，然后写入到UPX0这个输入表中，也就是我们真实的OEP入口代码地址。设置完后F9运行，可以发现他断在了我们的入口点处，代码已经解密完成了，加壳程序已经还原了他的代码，这也是还原后执行的第一行代码段被我们断了下来。
【脱壳-寻找OEP】通过堆栈平衡法找到OEP(ESP定律)
这个人很懒什么都没有留下
10-19 664
本次教程用的还是用UPX的加密，直接载入这个文件可以看到一个pushad，每个pushad都有他对应的popad，他的作用就是把右边的寄存器内容压入栈中，popad就是把压入栈中的内容进行还原。我们到堆栈里给他设置一个硬件访问断点，因为他是从第一个开始弹出所以要在第一个地址里设置断点，所以等到他pop出来还原的时候也就是解码完成了，就可以顺着找到oep。对比后发现他把内容都给压入到栈中了，到popad那一步的时候他又会把压入的内容还原到堆栈中去。跳过去就是我们的OEP了。
用内存断点找OEP 问题 脱壳时提示无法读取被调试进程的内存 bad dos signature
一根火柴博客
02-03 8397
1. 本文要解决的问题是：    1.什么是内存断点？    2.如何在寻找OEP时使用内存断点。    3.内存断点的局限性。     2.内存断点寻找OEP的原理   i.首先，在OD中内存断点，硬件断点和普通断点（F2下断）是有本质区别的。硬件断点等效与SoftICE命令bpm，他的中断要用到DR0-DR7的调试寄存器，也就是说OD通过这些DR0-DR7的调试寄存器来判断是否断下
程序运行时内存不能读的一些解决办法
04-19
程序运行时内存不能读的一些解决办法
逆向（2）-脱壳--upx壳（1）
小心信科理化声
03-03 960
题材来自于52pj。
win7/10 使用脱壳插件时 显示bad dos signature
空腹猫的博客
03-24 2051
上次脱壳时使用插件进行脱壳时，出现了以下问题： 出现的原因分析： 无法读取（00400000…0045CFFF）内存：由于这段内存为只读。权限不够。 那么为何会出现上述错误？如下 出现原因是，这段基址有误，在win7/10等X64平台中基址不同于XP等X32中的。 主要是插件太老了，有很多bug 解决方案： 安装XP虚拟机，在虚拟机里进行脱壳 更改起始地址，查看...
OD脱壳-无法读取被调试进程的内存
2401_83680667的博客
05-31 278
注意看两个大小不一致，所以出现读取失败，修改Ollydump 的大小为00041000即可成功脱壳dump 下来。如图所示，OD在调试dump内存时，出现无法读取内存的情况，一般是脱壳dump的内存超过了分配的内存。OD脱壳-无法读取被调试进程的内存。
7.2 手动脱壳十步法：OEP定位、内存Dump与IAT重建
最新发布
勤奋的码农
07-22 1119
本文系统解析了Windows平台手动脱壳的核心流程，包括OEP定位、内存转储和IAT重建三大关键技术。详细介绍了ESP定律法和内存断点法定位OEP的原理与操作步骤，分析了内存Dump的最佳时机判定条件和使用工具。针对IAT重建，阐述了ImportREC工作流和对抗加密指针的高级手段，并通过tElock壳脱壳案例展示了完整操作流程。文章指出手动脱壳是逆向工程的基础技能，强调精准时序控制和多技术协同的重要性，同时提示现代高级壳带来的新挑战。技术验证环境为Win11+OllyDbg+ImportREC工具链。
【逆向】【UPX】【ODdump】硬件断点后内存转储程序无法运行成功解决及脱壳步骤
lanlanla的成长历程
01-08 1912
目录 问题如下： 解决： 总结： 问题如下： 脱壳的时候我下了硬件断点：在PUSHAD的下一步查看ESP，OD的左下角goto到esp指向的地址，然后右键下硬件断点。 这样再运行很容易就直接定位到了POPAD，看起来都挺顺利的，很容易找到了OEP的位置。但是内存转储出来的exe打开无效果不运行，在110版本的OD中提示：“hasentrypointoutsidethecode...
ImpREC FINAL 1.7：新一代PE文件脱壳与OEP修复工具
在脱壳过程中，一旦程序被还原到其原始形态，找到并设置正确的OEP是确保程序能够正常执行的关键步骤。如果OEP设置错误，程序可能无法运行或出现异常行为。 该工具还具有逆向工程的特点，它允许用户研究软件是如何...
Ollydbg 1.1.0 终结版, 具有很强的反反调试能力
11-13
通常的OD调试某些具有反调试能力的加壳的程序的时候,OD容易被发现,导致一打开就会退出/自动关闭.只能望程序兴叹. 类似的加壳类型, safengine licensor, themida winlicense 2.x等都是这样. 现在这个OD经过了一些修改和加强, 可以避免在调试开始阶段就被黑掉. 其中的脚本之类的插件还不是最新版的, 可以自己到网上下载最新的.dll文件, 替换掉就可以. 还有选项和外观里面的路径可能需要根据自己放文件夹的实际路径,重新设置一下. == 特别说明: 这个是调试软件, 不是脱壳机.
ollydumpX插件, 显示xmm寄存器等
03-08
功能: 1.显示代码对应的xmm寄存器数据 2.OllyDump使用时出现 NtdllDefWindowProc_A 导入表错误 3.X64系统启动exe时出现异常EXCEPTION_SINGLE_STEP 4.自动对mswsock.dll文件的WSP系列函数命名添加标签 5.CPU信息,监视,日志窗体添加代码支持快捷复制Ctrl+C, Ctrl+A 6.CPU_DUMP添加菜单可以复制字符串
内存镜像法脱壳
小龙在线
09-12 959
内存镜像法一般用于稍微复杂的脱壳，在本例中不是很适用，但也能找到OEP。 如果在资源段加一个断点，第一次访问资源段地址的是脱壳程序。 首先用Ollydbg打开notepad.exe文件 在菜单栏的【选项】，选择【调试设置】，然后切换到【异常】标签页 勾选该页上的各种忽略异常，然后关闭 按下Alt+M键打开内存镜像，找到notepad的资源段，也就是 地址=00407000，大小=00005000的.rsrc段，也就是第一个看到的.rsrc资源段，选中这行按下F2设置断点 然后按下F9运行，程序执行到了
vs调试无法读取内存_Java并发编程共享模型之内存可见性
weixin_42356958的博客
01-26 295
退不出的循环先来看一个现象, main线程对run变量的修改对于t线程不可见,导致了t线程无法停止:为什么呢?分析- -下:1.初始状态，t 线程刚开始从主内存读取了run的值到工作内存。3.1秒之后，main线程修改了run的值,并同步至主存,而t是从自己工作内存中的高速缓存中读取这个变量的值,结果永远是1旧值解决方法volatile (易变关键字)它可以用来修饰成员变量和静态成员变量,它可以避...
OD脱壳-再次载入-软件无法找到入口
Bill
03-26 2359
OD脱壳后出现无法找到入口
BAD packet signature 18245
天行健,君子以自强不息！~
05-26 2735
<br /> <br />今天在启动服务器时，报了一个BAD packet signature 18245错误<br />详细错误如下：<br />view plaincopy to clipboardprint?<br />01.2009-6-5 11:09:11 org.apache.jk.common.MsgAjp processHeader   <br />02.严重: BAD packet signature 18245  <br />03.2009-6-5 11:09:11 org.apache
脱壳后的IAT修复
谢绝(无视)留言与私信
02-01 5158
前言压缩壳(大部分)和加密壳脱壳后, 在OEP处Dump出来后, 都需要IAT修复. 否则运行报错. 今天练习了脱壳后的IAT修复, 将流程点记录一下.记录OEP处dump的工具OllyDump(修复导入表dump和不修复导入表dump) LordPE(有些壳dump不出来) PeTools OD在OEP处, 用这几种工具, 将PE映像Dump出来. 用这几种工具都Dump一下, 如果
【笔记】单步跟踪法与UPX的脱壳理解
weixin_30344995的博客
05-31 444
用PEiD查壳 UPX v0.89.6 - v1.02 / v1.05 - v1.22 这个是入门的壳，只是一个简单的压缩壳用Stud_PE查看PE文件头信息 主要是看一下ImageBase的值 00400000，这是一个16进制数。在后面OD载入后，可以用这个值在内存映像中查看PE文件加载到内存后的情况。还有EntryPoint的值： 0000E8C0 程序...
OD 手动脱壳 - UPX
文公子的博客
08-03 4378
OD 手动脱壳 - UPX 1. 准备工作 1.OD 吾爱破解版 链接：https://pan.baidu.com/s/1ErDTW3D1n_XTAfTh8uMEbQ 提取码：tr45 2. 待脱壳程序 test2.exe 链接：https://pan.baidu.com/s/1GUseFGIB8jnrhGE_0bSZoA 提取码：xki4 3. 查壳工具 PEiD 0.95 链接：https://pan.baidu.com/s/1WUBRRcmu19CxKCh8u
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值