文章目錄

• • 查殼
  • 單步跟蹤查找OEP
  • 修復導入表

查殼

這個目標程序是PECompact 2.55的殼。脫這個殼的時候需要用一些技巧和套路。

單步跟蹤查找OEP

OD載入，

首先我們需要在VirtualFree下一個API斷點，之所以下這個斷點是因為殼在解壓或者解密代碼段的時候都需要申請一塊空間來進行解密或解壓操作，當VirtualFree完成之后，說明殼的解密或解壓操作完成。

然后直接F9運行，

斷在了VirtualFree處，接下來在retn處下斷點，返回到用戶代碼區，我的Alt+F9執行到用戶代碼沒有用，所以只好采取這種方法了。

接著我們查找push 8000這條命令，為什么要查找這條命令我也不知道，大概是前輩們總結出來的經驗吧。就跟FSG殼的脫殼套路類似，每個殼都有一個套路。

找到push 8000之后，在retn處下斷點。F9執行，就來到了這個地方

一直單步幾下，

這一連串的指令就相當于popad了，這條指令F7之后就到達OEP了。

在這里看到了GetModuleHandleA，說明這個就是入口點了。

修復導入表

接下來dump文件，自動查找IAT 獲取輸入表，這里有無效指針不能剪切掉，如果剪切掉了轉儲的程序就無法正常運行。接著轉儲文件。

脫殼后的程序正常運行。

需要相關文件可以到我的Github下載:https://github.com/TonyChen56/Unpack-Practice

總結

以上是生活随笔為你收集整理的003 PECompact 2.55的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。