恒大课件脱壳研究学习

zzlong995 · 发表于 2022-7-25 20:31

问题描述：我用的WIN7虚拟机，这类咱们研究WIN7的，请勿说XP的。
自我分析：这是一个UPX的壳，ESP定律后，dumg，然后REC修复。
问题配图：出现第一个问题，查壳显示UPX0，该如何继续脱干净。第二个问题，打开显示“已停止工作。”

微信图片_20220725201924.png

网上看了很多方法，aslr的问题,于是查看很多资料，试了后都没有用，载入脱壳后的软件，本身就是固定基址。
微信图片_20220725201901.png

来个大神帮小白们解决下困惑。

病毒查杀截图或链接： https://wwm.lanzouv.com/ibZGA08eiuxe

下载链接： https://wwm.lanzouv.com/ibZGA08eiuxe

boot · 发表于 2022-7-25 20:31

您还有0次查看次数，点此查看答案

点此购买查看次数
也可以兑换VIP特权或加入解密专家，每日可免费查看5次最佳答案！

zzlong995 · 发表于 2022-7-25 22:06

boot 发表于 2022-7-25 21:54
1、虽然脱壳后区段是UPX0，实际上已脱干净。UPX的特征是合并区段合并节，如果正确脱壳后仍然显示UPX0区段， ...

好的，明天试试，步骤是esp定律，到oep，然后用pe纠正大小，完全脱壳，然后用Scylla 0.9.8修复，就可以了，是吗

boot · 发表于 2022-7-25 22:08

zzlong995 发表于 2022-7-25 22:06
好的，明天试试，步骤是esp定律，到oep，然后用pe纠正大小，完全脱壳，然后用Scylla 0.9.8修复，就可以了 ...

留意，也不要用Lord PE进行dump。esp定律到oep后，统一用Scylla 0.9.8 x86进行dump并修复。

zzlong995 · 发表于 2022-7-26 14:28

boot 发表于 2022-7-25 22:08
留意，也不要用Lord PE进行dump。esp定律到oep后，统一用Scylla 0.9.8 x86进行dump并修复。 ...

我的WIN7虚拟机的X64的，Scylla 0.9.8 x86好像跟REC功能差不多，不能dump，是不是需要OD有Scylla 0.9.8的插件，才能dump.

boot · 发表于 2022-7-26 14:50

zzlong995 发表于 2022-7-26 14:28
我的WIN7虚拟机的X64的，Scylla 0.9.8 x86好像跟REC功能差不多，不能dump，是不是需要OD有Scylla 0.9.8的 ...

zzlong995 · 发表于 2022-7-26 15:22

boot 发表于 2022-7-26 14:50
https://www.52hb.com/thread-56527-1-1.html

我有，我下载了0.9.8的，有dump和修复的视频或者步骤也行，真不会用，这个好像只是一个修复工具，不能dump啊，课件是exe，这个工具好像主要修复dll的

boot · 发表于 2022-7-26 17:46

zzlong995 发表于 2022-7-26 15:22
我有，我下载了0.9.8的，有dump和修复的视频或者步骤也行，真不会用，这个好像只是一个修复工具，不能dum ...

呵呵，右边一个dump按钮，那么明显没看到吗？填写好oep，获取iat，获取输入表，查找无效的，最后dump，修复。

这个工具不存在只能修复dll的情况。

zzlong995 · 发表于 2022-7-26 20:56

boot 发表于 2022-7-26 17:46
呵呵，右边一个dump按钮，那么明显没看到吗？填写好oep，获取iat，获取输入表，查找无效的，最后dump，修 ...

看到了，我工具用错了，一直在学习，用scylla的话，配合x64dbg，我用的od难怪dump不出来

zzlong995 · 发表于 2022-7-26 21:09

boot 发表于 2022-7-26 17:46
呵呵，右边一个dump按钮，那么明显没看到吗？填写好oep，获取iat，获取输入表，查找无效的，最后dump，修 ...

恒大这个课件的话，一定要用x64dbg是吗，平时用的都是OD，x64dbg真不会用。。。

		自动登录	找回密码
密码			立即注册