手动脱PeCompact 2.20壳实战
作者:Fly2015
PeCompact壳又是一个没有听说过的壳。须要脱壳的程序是吾爱破解培训的第一课的选修作业四。近期对脱壳有点上瘾了,当然也遭受了脱壳受挫的无奈。可是比較幸运还是把这个壳给搞了。
对加壳程序进行查壳。
工具DIE显示程序加的是PeCompact壳,而且原来没加壳的程序使用Microsoft Visual C/C++(2008)编写的,这一点对于查找原程序的真实OEP很有帮助。
OD加载加壳的程序进行分析,加壳程序的入口点的汇编代码。
F8走了几步。坑啊,写壳的作者在代码中设置了异常,比如上图中标识的指令就会导致F8单步的时候触发向地址0赋值的异常,即使将这两条指令Nop掉。后面的指令中F8单步跟踪也会触发异常。
要对这个加壳程序进行脱壳,就必须规避触发指令中异常的问题。
是不是不能处理呢?还是有办法规避异常问题的,还好加壳的作者比較善良。
既然F8单步的方法不能处理。那就想另外的办法对加壳程序进行脱壳。Ctrl+F2再次加载该加壳程序进行调试分析,并在函数VirtualProtectA和VirtualProtectExA上设置断点(直接使用OD提供的API设置断点插件在API函数的上设置断点),如图。
F9执行4次,此时OD中的程序的状态如图。坑啊,这个壳的IAT表在不经意中就被暴漏了。IAT表的起始地址VA为432000。
Alt+F9让程序从系统临空回到用户程序的临空,停在用户程序的指令代码中如图。
Ctrl+F9运行完所在的函数到Retn指令处,F8单步回到上一层的调用方函数中如图。
Ctrl+F9再次运行完所在的函数到Retn指令处。F8单步回到上一层的调用方函数中如图。
离脱壳已经非常近了,直觉告诉地址00455D8E jmp eax中EAX保存的值就是原程序真实OEP的地址。
在地址00455D8E处F2断点,F4/F9执行到此处。得到EAX=0041DDAC即为原程序真实的OEP的VA地址。
F7单步跟进到地址0041DDAC处。选中部分内存数据,Ctrl+A分析内存数据,最终见到了光明。
OK,原程序的OEP找到了,使用Load PE和RECImport 工具或者Scylla工具进行程序的完美脱壳,IAT表的修复也比較顺利。
执行一下脱壳后的程序,证明脱壳成功。
手动脱PeCompact 2.20壳的文档分析和脱壳后程序的下载地址:http://download.csdn.net/detail/qq1084283172/8900459