恒大课件脱壳研究学习
问题描述: 我用的WIN7虚拟机,这类咱们研究WIN7的,请勿说XP的。自我分析: 这是一个UPX的壳,ESP定律后,dumg,然后REC修复。
问题配图 :出现第一个问题,查壳显示UPX0,该如何继续脱干净。第二个问题,打开显示“已停止工作。”
网上看了很多方法,aslr的问题,于是查看很多资料,试了后都没有用,载入脱壳后的软件,本身就是固定基址。
来个大神帮小白们解决下困惑。
病毒查杀截图或链接: https://wwm.lanzouv.com/ibZGA08eiuxe
下载链接: https://wwm.lanzouv.com/ibZGA08eiuxe
1、虽然脱壳后区段是UPX0,实际上已脱干净。UPX的特征是合并区段合并节,如果正确脱壳后仍然显示UPX0区段,但软件可以运行。可以考虑用PE工具进行区段优化、分离区段,并手动修改区段名称;
2、我这边Win7 x64脱壳并修复后能正常运行,用的是Scylla 0.9.8脱壳并修复;
3、问题出现在修复工具上,不要用REC; boot 发表于 2022-7-25 21:54
1、虽然脱壳后区段是UPX0,实际上已脱干净。UPX的特征是合并区段合并节,如果正确脱壳后仍然显示UPX0区段, ...
好的,明天试试,步骤是esp定律,到oep,然后用pe纠正大小,完全脱壳,然后用Scylla 0.9.8修复,就可以了,是吗 zzlong995 发表于 2022-7-25 22:06
好的,明天试试,步骤是esp定律,到oep,然后用pe纠正大小,完全脱壳,然后用Scylla 0.9.8修复,就可以了 ...
留意,也不要用Lord PE进行dump。esp定律到oep后,统一用Scylla 0.9.8 x86进行dump并修复。 boot 发表于 2022-7-25 22:08
留意,也不要用Lord PE进行dump。esp定律到oep后,统一用Scylla 0.9.8 x86进行dump并修复。 ...
我的WIN7虚拟机的X64的,Scylla 0.9.8 x86好像跟REC功能差不多,不能dump,是不是需要OD有Scylla 0.9.8的插件,才能dump. zzlong995 发表于 2022-7-26 14:28
我的WIN7虚拟机的X64的,Scylla 0.9.8 x86好像跟REC功能差不多,不能dump,是不是需要OD有Scylla 0.9.8的 ...
https://www.52hb.com/thread-56527-1-1.html
boot 发表于 2022-7-26 14:50
https://www.52hb.com/thread-56527-1-1.html
我有,我下载了0.9.8的,有dump和修复的视频或者步骤也行,真不会用,这个好像只是一个修复工具,不能dump啊,课件是exe,这个工具好像主要修复dll的 zzlong995 发表于 2022-7-26 15:22
我有,我下载了0.9.8的,有dump和修复的视频或者步骤也行,真不会用,这个好像只是一个修复工具,不能dum ...
呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修复。
这个工具不存在只能修复dll的情况。 boot 发表于 2022-7-26 17:46
呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修 ...
看到了,我工具用错了,一直在学习,用scylla的话,配合x64dbg,我用的od难怪dump不出来 boot 发表于 2022-7-26 17:46
呵呵,右边一个dump按钮,那么明显没看到吗?填写好oep,获取iat,获取输入表,查找无效的,最后dump,修 ...
恒大这个课件的话,一定要用x64dbg是吗,平时用的都是OD,x64dbg真不会用。。。{:5_191:}
页:
[1]
2