逆向脱壳实训 #3 多途径脱PECompact

于 2022-01-18 11:16:21 发布
阅读量578 收藏 1
点赞数 1
分类专栏： 逆向学习 文章标签： 逆向 脱壳 汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_48066554/article/details/122556008
版权
本文介绍了在win xp环境下，使用ollydbg和PEiD进行PECompact壳的脱壳方法，包括单步手动脱壳、ESP定律、BP VirtualFree、BP VirtualAlloc以及最后一次异常法，详细阐述了每种方法的实施步骤。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

逆向脱壳实训 #3 多途径脱PECompact

文章目录


使用多种方法进行

环境 & 工具

  • win xp系统
  • 吾爱破解版ollydbg
  • PEiD

查壳

image-20220118083738565

脱壳方法

1、单步手脱

单步运行至此call时，如果f8，程序会直接开始运行，所以运行至此处时单击f7跟进

image-20220118083754204

继续单步，至此call同样会开始运行，继续f7跟进

image-20220118084147351

此后一直没有遇到向上跳转，一直到0x0045DF36处出现长距离无条件跳转，且下方代码为空字节，单步步入后到达OEP

最低0.47元/天 解锁文章
八种方法脱PECompact壳
Lorezon的博客
06-30 1664
注：文中涉及到的方法、例子等均来源于52pojie社区，学习过程中总结方便以后阅读 方法一：单步跟踪 F8跟进，遇到跑飞的Call就F7进入 遇到sysenter也会跑飞，同样F7进入，之后单步跟，即可找到OEP 方法二：ESP定律法 单步跟进，发现右侧ESP突变，数据窗口跟随，然后硬件访问>word 运行，之后删除硬件访问，之后单步跟进 方法三：下BP VirtualFree断点（一次运行） 下断点后Shift+F9运行，来到这里 之后F2取消断点，然后Alt+F9执行到用户代码 然后搜索
PECompact脱壳工具
04-18
很不容易找到的，最新版的，，可以一试哈，能脱PECompact 2.5x - 2.79(beta) 脱壳机汉化版不能脱的壳，，我都用过了，强烈建议试用
PEcompact 3.X 脱壳
weixin_34176694的博客
10-21 324
本文思路主要来自于 这篇帖子(https://www.52pojie.cn/thread-682776-1-1.html) 这次拿exescope当作例子。 用x64dbg进行调试，来到401000 F8两次到401000D 此时给esp所指的内存下硬件访问断点 然后一路F9直到来到这 不远处会出现 F2下断点 F9到达OEP 此时就可以用scylla dump ...
脱壳第二讲,手动脱壳PECompact 2.x
weixin_30664051的博客
10-26 389
　　　　　　　　　　　　　　脱壳第二讲,手动脱壳PECompact 2.x PS: 此博客涉及到PE格式.所以观看此博客你要熟悉PE格式 首先,逆向inc2l这个工具,汇编中可能会用的 inc头文件转换为lib的工具 但是他有壳,先查壳. 发现是这个壳 利用Esp定律,脱掉这个壳. 首先,inc2l.exe是32位的,所以要放到虚拟机中. 一丶OD打开分析 1.OD分析...
专门脱 PECompact 壳的脱壳工具
01-05
UnPECompact 1.32 专门脱 PECompact 壳的脱壳工具。支持 PECompact 1.69 版本的壳。
脱壳-PeCompact(2.20)
谢绝(无视)留言与私信
02-13 1005
前言脱壳练习, PeCompact是压缩壳查壳PEID => PECompact 2.x -> Jeremy Collake DIE => PeCompact(2.20)[-]找OEPESP定律(硬断点, DWORD读) F9跑起断在NTDll中, ALT+F9返回用户领空, F8走到下面的JMP EAX, 就去OEP了.0050EB63 53 push
PEcompact脱壳教程.exe
08-02
PEcompact ver.2.78a ~ 3.0.3.9 是一个压缩壳，压缩壳可以用到恒大的ESP定律 ESP上点击右键选择 HW。。。 下硬件断点 当然，你也可以手动 F9运行一次看看 004654B3 83C4 04 add esp,0x4 到了add ESP 可以F8往下...
pecompact 2.x-3.x 最新脱壳机
11-28
标题 "pecompact 2.x-3.x 最新脱壳机" 指向的是一个专门针对 PECompact 2.x 至 3.x 版本压缩壳的脱壳工具。PECompact 是一种流行的可执行文件压缩和保护技术，它用于减小程序体积并提供一定程度的反调试和反逆向工程...
PECompact 2.x-3.x 脱壳工具研究
然而，软件逆向工程领域的专家们开发出一系列工具和技术来“脱壳”，即剥离掉PECompact的压缩层和保护层，使软件恢复成可分析的状态。本文将探讨PECompact的脱壳过程及其难点，特别是当面对PECompact中文版时。 ###...
最新PECompact 2.x-3.x版本脱壳工具解析
标题中提及的“pecompact+2.x-3.x+最新脱壳机”所指的知识点包括了对PECompact工具的理解，以及它的2.x至3.x版本之间的变化和特点。PECompact是一种流行的可执行文件压缩工具，由Mpress Technologies开发，它的主要...
PECompact 2.5脱壳
吖吖狼 的专栏
01-03 1326
文章来源于黑鹰教程 PECompact 2.5 Retail -> Jeremy Collake 设置Ollydbg忽略所有的异常选项。 od载入 01001000 N>  B8 90BA0101     mov eax,NOTEPAD.0101BA90 01001005     50              push eax
手动脱PeCompact 2.20壳实战-
07-15
手动脱PeCompact 2.20壳实战的分析文档和脱壳后完美运行的程序，这个练习的程序也是吾爱破解论坛培训第一课的选修作业四
脫殼工具PECompact 2[1].x-3.x 免安裝版
07-06
脫殼工具PECompact 2[1].x-3.x 免安裝版
PECompact exe/PE压缩工具
07-23
PECompact exe/PE压缩工具
珊瑚虫QQ外挂3.06脱壳
~CharmSky~
04-20 1397
1.CoralQQ.exe用peid查，显示是PECompact 2.x -> Jeremy Collake的壳用OD载入后停在00401000     B8 D4A14300         mov eax,CoralQQ.0043A1D4       F8单步运行00401005     50                  push eax00401006     64:FF35 0000
脱壳-PECompact v1.66
谢绝(无视)留言与私信
02-01 1085
前言在练习脱壳. 这个壳特点: * 在OEP处少代码, 需要自己在OEP处补齐. 少的代码在OEP之前都能看到. * 在OEP处脱壳后, ImpRec找不到IAT. 需要自己搜索指令来找到IAT项.记录查壳Detect It Easy => Borland Delphi(-)[-] PEID => 什么都没找到 * RDG => PECompact v1.66查找OEP用ES
手动脱PeCompact 2.20壳实战
weixin_30687811的博客
07-18 178
作者：Fly2015 PeCompact壳又是一个没有听说过的壳。须要脱壳的程序是吾爱破解培训的第一课的选修作业四。近期对脱壳有点上瘾了，当然也遭受了脱壳受挫的无奈。可是比較幸运还是把这个壳给搞了。 对加壳程序进行查壳。 工具DIE显示程序加的是PeCompact壳，而且原来没加壳的程序使用MicrosoftVisualC/C++(2008)编写的，这一点对于...
手动脱壳之PECompact
rayjoker1_one的博客
11-27 746
这个星期开始学脱壳,就从简单的压缩壳开始吧。
手动脱壳----PECompact 2.x -> Jeremy Collake
xkjcf 丛飞 家·国·天下
04-21 1835
网上也有很多手动脱壳的教程，但是光看不写总觉的像自己没学过似的。   操作环境：        操作系统：Windows 7 Ultimate        OD版本：Olldbg 1.10        被脱壳软件：文章最后提供下载 下边利用ESP原理脱壳。   首先使用OD载入图标王程序，出现提示确定即可。开头的代码如下: 00405A99 > $ B8 D0C74200
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值