zzlong995 发表于 2022-7-25 20:31

恒大课件脱壳研究学习

问题描述: 我用的WIN7虚拟机,这类咱们研究WIN7的,请勿说XP的。
自我分析: 这是一个UPX的壳,ESP定律后,dumg,然后REC修复。
问题配图 :出现第一个问题,查壳显示UPX0,该如何继续脱干净。第二个问题,打开显示“已停止工作。”




网上看了很多方法,aslr的问题,于是查看很多资料,试了后都没有用,载入脱壳后的软件,本身就是固定基址。



来个大神帮小白们解决下困惑。


病毒查杀截图或链接: https://wwm.lanzouv.com/ibZGA08eiuxe


下载链接: https://wwm.lanzouv.com/ibZGA08eiuxe





boot 发表于 2022-7-25 20:31

1、虽然脱壳后区段是UPX0,实际上已脱干净。UPX的特征是合并区段合并节,如果正确脱壳后仍然显示UPX0区段,但软件可以运行。可以考虑用PE工具进行区段优化、分离区段,并手动修改区段名称;
2、我这边Win7 x64脱壳并修复后能正常运行,用的是Scylla 0.9.8脱壳并修复;
3、问题出现在修复工具上,不要用REC;

zzlong995 发表于 2022-7-25 22:06

boot 发表于 2022-7-25 21:54
1、虽然脱壳后区段是UPX0,实际上已脱干净。UPX的特征是合并区段合并节,如果正确脱壳后仍然显示UPX0区段, ...

好的,明天试试,步骤是esp定律,到oep,然后用pe纠正大小,完全脱壳,然后用Scylla 0.9.8修复,就可以了,是吗

boot 发表于 2022-7-25 22:08

zzlong995 发表于 2022-7-25 22:06
好的,明天试试,步骤是esp定律,到oep,然后用pe纠正大小,完全脱壳,然后用Scylla 0.9.8修复,就可以了 ...

留意,也不要用Lord PE进行dump。esp定律到oep后,统一用Scylla 0.9.8 x86进行dump并修复。

zzlong995 发表于 2022-7-26 14:28

boot 发表于 2022-7-25 22:08
留意,也不要用Lord PE进行dump。esp定律到oep后,统一用Scylla 0.9.8 x86进行dump并修复。 ...

我的WIN7虚拟机的X64的,Scylla 0.9.8 x86好像跟REC功能差不多,不能dump,是不是需要OD有Scylla 0.9.8的插件,才能dump.

boot 发表于 2022-7-26 14:50

zzlong995 发表于 2022-7-26 14:28
我的WIN7虚拟机的X64的,Scylla 0.9.8 x86好像跟REC功能差不多,不能dump,是不是需要OD有Scylla 0.9.8的 ...

https://www.52hb.com/thread-56527-1-1.html

zzlong995 发表于 2022-7-26 15:22

boot 发表于 2022-7-26 14:50
https://www.52hb.com/thread-56527-1-1.html

我有,我下载了0.9.8的,有dump和修复的视频或者步骤也行,真不会用,这个好像只是一个修复工具,不能dump啊,课件是exe,这个工具好像主要修复dll的

boot 发表于 2022-7-26 17:46

zzlong995 发表于 2022-7-26 15:22
我有,我下载了0.9.8的,有dump和修复的视频或者步骤也行,真不会用,这个好像只是一个修复工具,不能dum ...

呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修复。

这个工具不存在只能修复dll的情况。

zzlong995 发表于 2022-7-26 20:56

boot 发表于 2022-7-26 17:46
呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修 ...

看到了,我工具用错了,一直在学习,用scylla的话,配合x64dbg,我用的od难怪dump不出来

zzlong995 发表于 2022-7-26 21:09

boot 发表于 2022-7-26 17:46
呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修 ...

恒大这个课件的话,一定要用x64dbg是吗,平时用的都是OD,x64dbg真不会用。。。{:5_191:}
页: [1] 2
查看完整版本: 恒大课件脱壳研究学习