手动脱壳入门第十八篇 PC Shrinker 0.71
时间:2008-10-02 08:14:43 魔新豆网
【脱文标题】 手动脱壳入门第十八篇 PC Shrinker 0.71
【脱文作者】 weiyi75[Dfcg]
【作者邮箱】 weiyi75@sohu.com
【作者主页】 Dfcg官方大本营
【使用工具】 Peid,Ollydbg,ImportREC
【脱壳平台】 Win2K/XP
【软件名称】 Pcshrink.exe
【软件简介】 Phrozen Crew PE Shrinker is an windows 9x/NT executable file compressor, allowing compressed executables to run, functionally,the same as always, but occupy a significantly less amount of disk space.
【软件大小】 15 KB
【下载地址】 本地下载
PC Shrinker 0.71.rar
【加壳方式】 PC Shrinker 0.71 -> Virogen
【保护方式】 PC Shrinker压缩壳
【脱壳声明】 我是一只小菜鸟,偶得一点心得,愿与大家分享:)
--------------------------------------------------------------------------------
【脱壳内容】
这个程序的压缩选项是非常丰富的,从界面中也没有加密选项,无效隐藏OD和设置异常。
先看看它加壳的记事本
本地下载
NOTEPAD.rar
首先Peid查壳,为PC Shrinker 0.71 -> Virogen,OD载入运行,无任何异常,判断其为压缩壳。
0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //仍然是ESP定律
0040AAFD BD B7710000 MOV EBP,71B7 //这里的ESP为12FFA0
0040AB02 01AD 543A4000 ADD DWORD PTR SS:[EBP 403A54],EBP
0040AB08 FFB5 503A4000 PUSH DWORD PTR SS:[EBP 403A50]
0040AB0E 6A 40 PUSH 40
0040AB10 FF95 883A4000 CALL DWORD PTR SS:[EBP 403A88]
0040AB16 50 PUSH EAX
0040AB17 50 PUSH EAX
0040AB18 2D 7D394000 SUB EAX,NOTEPAD.0040397D
0040AB1D 8985 7E394000 MOV DWORD PTR SS:[EBP 40397E],EAX
0040AB23 5F POP EDI
0040AB24 8DB5 7D394000 LEA ESI,DWORD PTR SS:[EBP 40397D]
0040AB2A B9 FC000000 MOV ECX,0FC
0040AB2F F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040AB31 5F POP EDI
0040AB32 FFE7 JMP EDI
..................................................
命令行 dd 12ffa0
下硬件访问-Dword断点。
F9运行
硬件中断。
标签1
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //
解压缩过程,就是我们以前慢慢跟踪的一下循环圈。
00132DC6 61 POPAD //堆栈平衡,完全工整对应。
00132DC7 9D POPFD //这里是出口,我们断在这里。
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
00132DC6 61 POPAD
00132DC7 9D POPFD //这里是出口,我们断在这里。转标签1看看
00132DC8 BA CC104000 MOV EDX,4010CC
00132DCD FFE2 JMP EDX //EDX=4010CC,这个是地球人都只道的记事本的OEP
004010CC 55 PUSH EBP //在这里用Loadpe直接脱壳
004010CD 8BEC MOV EBP,ESP
004010CF 83EC 44 SUB ESP,44
004010D2 56 PUSH ESI //我们看到加密表没有破坏,往下看到KERNEL32.GetCommandLineA
004010D3 FF15 E4634000 CALL DWORD PTR DS:[4063E4] ; KERNEL32.GetCommandLineA
004010D9 8BF0 MOV ESI,EAX
004010DB 8A00 MOV AL,BYTE PTR DS:[EAX]
004010DD 3C 22 CMP AL,22
004010DF 75 1B JNZ SHORT NOTEPAD.004010FC
004010E1 56 PUSH ESI
004010E2 FF15 F4644000 CALL DWORD PTR DS:[4064F4] ; USER32.CharNextA
004010E8 8BF0 MOV ESI,EAX
004010EA 8A00 MOV AL,BYTE PTR DS:[EAX]
004010EC 84C0 TEST AL,AL
004010EE 74 04 JE SHORT NOTEPAD.004010F4
004010F0 3C 22 CMP AL,22
004010F2 ^ 75 ED JNZ SHORT NOTEPAD.004010E1
...........................................................
运行ImportREC,选择这个进程。把OEP改为000010cc,点IT AutoSearch,点“Get Import”,函数都是有效的。FixDump,正常运行,记事本脱壳完毕。
脱壳主程序
继续OD载入它的主程序。
004066F8 > 9C PUSHFD //主程序外壳入口。
004066F9 60 PUSHAD //从这这句过后用ESP定律吧,
004066FA BD B42D0000 MOV EBP,2DB4 //到这里ESP=19ffa0
004066FF 01AD 543A4000 ADD DWORD PTR SS:[EBP 403A54],EBP
00406705 FFB5 503A4000 PUSH DWORD PTR SS:[EBP 403A50]
0040670B 6A 40 PUSH 40
0040670D FF95 883A4000 CALL DWORD PTR SS:[EBP 403A88]
00406713 50 PUSH EAX
00406714 50 PUSH EAX
00406715 2D 7D394000 SUB EAX,PCSHRINK.0040397D
0040671A 8985 7E394000 MOV DWORD PTR SS:[EBP 40397E],EAX
00406720 5F POP EDI
00406721 8DB5 7D394000 LEA ESI,DWORD PTR SS:[EBP 40397D]
00406727 B9 FC000000 MOV ECX,0FC
0040672C F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040672E 5F POP EDI
0040672F FFE7 JMP EDI
................................................................................
dd 19ffa0
下硬件访问-Dword断点。
F9运行
硬件中断。
001A2DD6 61 POPAD
001A2DD7 9D POPFD //堆栈平衡
001A2DD8 BA 00104000 MOV EDX,401000
001A2DDD FFE2 JMP EDX //EDX=401000是主程序的OEP
00401000 E8 DB E8 //这种情况大家应该见多了,点右键-分析-清除分析。
00401001 05 DB 05
00401002 16 DB 16
00401003 00 DB 00
00401004 00 DB 00
00401005 A3 DB A3
00401006 DF DB DF
00401007 37 DB 37 ; CHAR '7'
00401008 40 DB 40 ; CHAR '@'
00401009 00 DB 00
0040100A E8 DB E8
0040100B BF DB BF
0040100C 15 DB 15
【脱文作者】 weiyi75[Dfcg]
【作者邮箱】 weiyi75@sohu.com
【作者主页】 Dfcg官方大本营
【使用工具】 Peid,Ollydbg,ImportREC
【脱壳平台】 Win2K/XP
【软件名称】 Pcshrink.exe
【软件简介】 Phrozen Crew PE Shrinker is an windows 9x/NT executable file compressor, allowing compressed executables to run, functionally,the same as always, but occupy a significantly less amount of disk space.
【软件大小】 15 KB
【下载地址】 本地下载
PC Shrinker 0.71.rar
【加壳方式】 PC Shrinker 0.71 -> Virogen
【保护方式】 PC Shrinker压缩壳
【脱壳声明】 我是一只小菜鸟,偶得一点心得,愿与大家分享:)
--------------------------------------------------------------------------------
【脱壳内容】
这个程序的压缩选项是非常丰富的,从界面中也没有加密选项,无效隐藏OD和设置异常。
先看看它加壳的记事本
本地下载
NOTEPAD.rar
首先Peid查壳,为PC Shrinker 0.71 -> Virogen,OD载入运行,无任何异常,判断其为压缩壳。
0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //仍然是ESP定律
0040AAFD BD B7710000 MOV EBP,71B7 //这里的ESP为12FFA0
0040AB02 01AD 543A4000 ADD DWORD PTR SS:[EBP 403A54],EBP
0040AB08 FFB5 503A4000 PUSH DWORD PTR SS:[EBP 403A50]
0040AB0E 6A 40 PUSH 40
0040AB10 FF95 883A4000 CALL DWORD PTR SS:[EBP 403A88]
0040AB16 50 PUSH EAX
0040AB17 50 PUSH EAX
0040AB18 2D 7D394000 SUB EAX,NOTEPAD.0040397D
0040AB1D 8985 7E394000 MOV DWORD PTR SS:[EBP 40397E],EAX
0040AB23 5F POP EDI
0040AB24 8DB5 7D394000 LEA ESI,DWORD PTR SS:[EBP 40397D]
0040AB2A B9 FC000000 MOV ECX,0FC
0040AB2F F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040AB31 5F POP EDI
0040AB32 FFE7 JMP EDI
..................................................
命令行 dd 12ffa0
下硬件访问-Dword断点。
F9运行
硬件中断。
标签1
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //
解压缩过程,就是我们以前慢慢跟踪的一下循环圈。
00132DC6 61 POPAD //堆栈平衡,完全工整对应。
00132DC7 9D POPFD //这里是出口,我们断在这里。
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
00132DC6 61 POPAD
00132DC7 9D POPFD //这里是出口,我们断在这里。转标签1看看
00132DC8 BA CC104000 MOV EDX,4010CC
00132DCD FFE2 JMP EDX //EDX=4010CC,这个是地球人都只道的记事本的OEP
004010CC 55 PUSH EBP //在这里用Loadpe直接脱壳
004010CD 8BEC MOV EBP,ESP
004010CF 83EC 44 SUB ESP,44
004010D2 56 PUSH ESI //我们看到加密表没有破坏,往下看到KERNEL32.GetCommandLineA
004010D3 FF15 E4634000 CALL DWORD PTR DS:[4063E4] ; KERNEL32.GetCommandLineA
004010D9 8BF0 MOV ESI,EAX
004010DB 8A00 MOV AL,BYTE PTR DS:[EAX]
004010DD 3C 22 CMP AL,22
004010DF 75 1B JNZ SHORT NOTEPAD.004010FC
004010E1 56 PUSH ESI
004010E2 FF15 F4644000 CALL DWORD PTR DS:[4064F4] ; USER32.CharNextA
004010E8 8BF0 MOV ESI,EAX
004010EA 8A00 MOV AL,BYTE PTR DS:[EAX]
004010EC 84C0 TEST AL,AL
004010EE 74 04 JE SHORT NOTEPAD.004010F4
004010F0 3C 22 CMP AL,22
004010F2 ^ 75 ED JNZ SHORT NOTEPAD.004010E1
...........................................................
运行ImportREC,选择这个进程。把OEP改为000010cc,点IT AutoSearch,点“Get Import”,函数都是有效的。FixDump,正常运行,记事本脱壳完毕。
脱壳主程序
继续OD载入它的主程序。
004066F8 > 9C PUSHFD //主程序外壳入口。
004066F9 60 PUSHAD //从这这句过后用ESP定律吧,
004066FA BD B42D0000 MOV EBP,2DB4 //到这里ESP=19ffa0
004066FF 01AD 543A4000 ADD DWORD PTR SS:[EBP 403A54],EBP
00406705 FFB5 503A4000 PUSH DWORD PTR SS:[EBP 403A50]
0040670B 6A 40 PUSH 40
0040670D FF95 883A4000 CALL DWORD PTR SS:[EBP 403A88]
00406713 50 PUSH EAX
00406714 50 PUSH EAX
00406715 2D 7D394000 SUB EAX,PCSHRINK.0040397D
0040671A 8985 7E394000 MOV DWORD PTR SS:[EBP 40397E],EAX
00406720 5F POP EDI
00406721 8DB5 7D394000 LEA ESI,DWORD PTR SS:[EBP 40397D]
00406727 B9 FC000000 MOV ECX,0FC
0040672C F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040672E 5F POP EDI
0040672F FFE7 JMP EDI
................................................................................
dd 19ffa0
下硬件访问-Dword断点。
F9运行
硬件中断。
001A2DD6 61 POPAD
001A2DD7 9D POPFD //堆栈平衡
001A2DD8 BA 00104000 MOV EDX,401000
001A2DDD FFE2 JMP EDX //EDX=401000是主程序的OEP
00401000 E8 DB E8 //这种情况大家应该见多了,点右键-分析-清除分析。
00401001 05 DB 05
00401002 16 DB 16
00401003 00 DB 00
00401004 00 DB 00
00401005 A3 DB A3
00401006 DF DB DF
00401007 37 DB 37 ; CHAR '7'
00401008 40 DB 40 ; CHAR '@'
00401009 00 DB 00
0040100A E8 DB E8
0040100B BF DB BF
0040100C 15 DB 15
本文标签:
- 上一篇:各种加密方案分析
- 下一篇:遭遇密码丢失 教你如何进行破解
读过此篇文章的网友还读过:
- Flash AS 入门教程 loadMovie应用举例 多画面与画中画实现
- 入门级价格核心级体验 微星vigor gk60详细图文评测
- 入门女机械表排名 浪琴L2.128.5.32.7有着非常不错的外观
- 599元良心显卡 GTX1030入门显卡性能堪比GTX750Ti
- 10本关于服装设计的书籍排行榜,《服装造型学:理论篇》带你入门
- 2017固态硬盘怎么选接口 玩转SSD固态硬盘入门小知识介绍
- 低端市场的SSD性能如何?两款热门入门级120GB SSD大比拼
- 希捷1TB机械硬盘正低价 入门装机必选
- 九本博弈论经典入门书籍排行榜,《博弈的智慧》教你斗智斗勇
- 瑜伽基础入门动作
- 跟我学 菜鸟超频入门基础
- 投影机入门之投影亮度判断标准全解析