反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12

2014年10月25日 技术资料 9.59 K views 0

ESP定律法的步骤
ESP定理脱壳(ESP在OD的寄存器中,我们只要在命令行下ESP的硬件访问断点,就会一下来到程序的OEP了!)
(1)开始就点F8,注意观察OD右上角的寄存器中ESP有没突现(变成红色)(这只是一  般情况下,更确切的说我们选择的ESP值是关键句之后的第一个ESP值)
(2)在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者是hr XXXXXXXX),  按回车
(3)选中下断的地址,断点--->硬件访--->WORD断点
(4)按一下F9运行程序,直接来到了跳转处,按下F8,到达程序OEP
 

1 查壳
用PEID查壳的结果如下图,可以看出程序加了ASPack2.12的壳
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第1张
 
2 寻找OEP
(1)用OD载入该程序
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第2张
 
(2)按下F8单步步过,发现ESP此时是红色,记下此时ESP寄存器中的值0012FF6C(载入程序处的下一个ESP是红色,当然每个人机器上运行这个值有可能不同)
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第3张
 
(3)在命令行下输入dd 0012FF6C,然后按下回车键
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第4张
 
(4)选中要下断点的0012FF6C那行,依次选择断点 -> 硬件访问 -> Word
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第5张
 
(5) 在菜单栏调试(D)下的硬件断点(H)下选项下可以看到我们设置的硬件断点
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第6张
 
(6)然后按下F9运行程序,运行到程序停止
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第7张
 
(7)删除前面下的硬件断点,选择调试(D)下的硬件断点(H),弹出如下对话框,点击  删除1按钮删除前面下的硬件断点
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第8张

(8)运用F8很快会到达程序的OEP(此时需要使用F8单步步过)
点击查看原图 反汇编破解入门实战OllyDBG ESP定律法 脱壳,ASPack2.12 第9张
3 脱壳
可以使用OD自带插件,也可以用LordPE,方法和前面"单步跟踪法"中使用方法一样
 
4 修复
可以使用ImportFix,方法和前面"单步跟踪法"中使用方法一样

分享到:
赞🧧赏

发表评论

欢迎交流:

欢迎您朋友:

1、本站无广告推广,免费分享

2、内容错误纠错欢迎反馈站长

3、新版解压密码看我QQ空间,或留言

     纯净共享奉献,站长非24小时在线



By iT猫itcat.cn 宣