樣本是：wallet勒索病毒
環境：虛擬機VMWARE win7 32位
工具：OD，winhex

初次拿到樣本，先用火絨劍工具監控下病毒樣本的流程，可以看到有一個自創建進程的行為。

我們等找到OEP后，在CreateProcessA下斷點進行跟蹤，

找到OEP后，對CreateProcessA下斷點

返回查看后續遠程寫執行代碼操作，提前將斷點打好

開始按F9，準備DUMP病毒執行代碼，同時打開WINHEX，新建文件，將DUMP代碼拷貝到新建文件中，

最后拼接成的可執行文件可直接運行，代表我們脫殼完成。

超強干貨來襲 云風專訪：近40年碼齡，通宵達旦的技術人生

總結

以上是生活随笔為你收集整理的勒索病毒傀儡进程脱壳的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。