upx 手动脱壳[通俗易懂]

大家好，又见面了，我是你们的朋友全栈君。

查壳

upx 手动脱壳[通俗易懂]

UPX 0.89.6 – 1.02 / 1.05 – 2.90 (Delphi) stub -> Markus & Laszlo

upx这类压缩壳手动脱壳非常简单。

一、查找oep

二、dump、修复IAT

• 一、查找oep

way1：

首先在程序入口发现pushad指令，接下来可以直接查找指令popad

upx 手动脱壳[通俗易懂]

upx 手动脱壳[通俗易懂]

upx 手动脱壳[通俗易懂]

在jmp指令处下断，运行。

jmp之后来到oep

upx 手动脱壳[通俗易懂]

upx 手动脱壳[通俗易懂]

way2：

当然可以在单步pushad后，转到esp的内存窗口，设置硬件断点，运行，找到jmp处。

upx 手动脱壳[通俗易懂]

upx 手动脱壳[通俗易懂]

运行后会在popad指令后停下

upx 手动脱壳[通俗易懂]

跟踪jmp将转到oep

• 二、dump、fix dump

在x64dbg下使用Scylla

upx 手动脱壳[通俗易懂]

删除掉失效函数。

upx 手动脱壳[通俗易懂]

最后

upx 手动脱壳[通俗易懂]

脱壳完成。

upx 手动脱壳[通俗易懂]

如果没有修复，直接运行程序可能会报错

upx 手动脱壳[通俗易懂]

修复IAT后程序便可以正常运行。[fix dump]

发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/154298.html原文链接：https://javaforall.cn