常用手動脫殼方法

 常用手動脫殼方法

脫殼

方法一：單步跟蹤法 1.用OD載入，點“不分析代碼！” 2.單步向下跟蹤F8，實現向下的跳。也就是說向上的跳不讓其實現！（通過F4） 3.遇到程式往回跳的（包括迴圈），我們在下一句代碼處按F4（或者右健單擊代碼，選擇斷點——>運行到所選） 4.綠色線條表示跳轉沒實現，不用理會，紅色線條表示跳轉已經實現！ 5.如果剛載入程式，在附近就有一個CALL的，我們就F7跟進去，不然程式很容易跑飛，這樣很快就能到程式的OEP 6.在跟蹤的時候，如果運行到某個CALL程式就啟動並執行，就在這個CALL中F7進入 7.一般有很大的跳轉（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就會到程式的OEP。 Btw:在有些殼無法向下跟蹤的時候，我們可以在附近找到沒有實現的大跳轉，右鍵-->“跟隨”,然後F2下斷，Shift+F9運行停在“跟隨”的位置，再取消斷點，繼續F8單步跟蹤。一般情況下可以輕鬆到達OEP！ 方法二：ESP定律法 ESP定理脫殼（ESP在OD的寄存器中，我們只要在命令列下ESP的硬體訪問斷點，就會一下來到程式的OEP了！） 1.開始就點F8，注意觀察OD右上方的寄存器中ESP有沒突現（變成紅色）。（這隻是一般情況下，更確切的說我們選擇的ESP值是關鍵句之後的第一個ESP值） 2.在命令列下：dd XXXXXXXX(指在當前代碼中的ESP地址，或者是hr XXXXXXXX)，按斷行符號！ 3.選中下斷的地址，斷點--->硬體訪--->WORD斷點。 4.按一下F9運行程式，直接來到了跳轉處，按下F8，到達程式OEP。 方法三：記憶體鏡像法 1：用OD開啟軟體！ 2：點擊選項——調試選項——異常，把裡面的√全部勾上！CTRL+F2重載下程式！ 3：按ALT+M,開啟記憶體鏡象，找到程式的第一個.rsrc.按F2下斷點，然後按SHIFT+F9運行到斷點，接著再按ALT+M,開啟記憶體鏡象，找到程式的第一個.rsrc.上面的.CODE（也就是00401000處），按F2下斷點！然後按SHIFT+F9（或者是在沒異常情況下按F9），直接到達程式OEP！ 方法四：一步到達OEP 1.開始按Ctrl+F,輸入：popad（只適合少數殼，包括UPX，ASPACK殼），然後按下F2，F9運行到此處 2.來到大跳轉處，點下F8，到達OEP！ 方法五：最後一次異常法 1：用OD開啟軟體 2：點擊選項——調試選項——異常，把裡面的√全部去掉！CTRL+F2重載下程式 3：一開始程式就是一個跳轉，在這裡我們按SHIFT+F9，直到程式運行，記下從開始按SHIFT+F9到程式啟動並執行次數m！ 4：CTRL+F2重載程式，按SHIFT+F9（這次按的次數為程式啟動並執行次數m-1次） 5：在OD的右下角我們看見有一個"SE 控制代碼"，這時我們按CTRL+G，輸入SE 控制代碼前的地址！ 6：按F2下斷點！然後按SHIFT+F9來到斷點處！ 7：去掉斷點，按F8慢慢向下走！ 8：到達程式的OEP！ 方法六：類比跟蹤法 1：先試運行，跟蹤一下程式，看有沒有SEH暗樁之類 2：ALT+M開啟記憶體鏡像，找到（包含=SFX,imports,relocations） 記憶體鏡像，項目 30 地址=0054B000 大小=00002000 (8192.) Owner=check    00400000 區段=.aspack 包含=SFX,imports,relocations 類型=Imag 01001002 訪問=R 初始訪問=RWE 3：地址為0054B000，如是我們在命令列輸入tc eip<0054B000,斷行符號，正在跟蹤ing。。 Btw:大家在使用這個方法的時候，要理解他是要在怎麼樣的情況下才可以使用 方法七：“SFX”法 1：設定OD，忽略所有異常，也就是說異常選項卡裡面都打上勾 2：切換到SFX選項卡，選擇“位元組模式跟蹤實際入口（速度非常慢）”，確定。 3：重載程式（如果跳出是否“壓縮代碼？”選擇“否”，OD直接到達OEP） Btw:這種方法不要濫用得好，鍛煉能力為妙。