昨天破解某款软件 是北斗3.7的壳 本人比较懒(实际上是技术不够)网上找脱壳机 全是V3.X的 不能完美脱掉,论坛上也没有 我现在就发布一款吧.
方法一为本人自己脱了好半天才脱掉的方法,方法二为上面链接里别人的ESP思路,我在这里只是照搬,并非自己的思路,希望大家海涵,我对第二种方法F9运行三次不太明白,因为按照最后一次异常的方法,也是可以运行到第四次的,所以我不太明白为什么只运行三次。如果有知道的大神也可以跟帖赐教一下,感激不尽!
1. OD查壳—nSpack3.7的壳
2. 载入OD
看起来很眼熟,F8一次,然后下面就可以使用ESP定律了,使用ESP定律下断点,然后F9四次
3. F9四次后落到这个位置
接下来就是不停F8了,提前跟大家讲,注意点:
①F8过程中不管是向上跳还是向下跳我们都让他实现,这时候大家会说了,按照正常逻辑,向上的跳转不是应该在下面一行下断跳过去吗?起初我也是这样做的,但是程序会跑飞,具体的原因我也不知道是为什么,所以我就让他跳上去看看
②接下来F8过程中大家可能会有疑惑,因为貌似我们陷入了一个死循环中,代码在两个跳转中不停循环跳转,这个时候希望大家不要放弃,为什么呢?第一:我们首先可以看到的是地址框,虽然貌似两个跳转之间的反汇编代码是相同的,但是事实上我们在跳转过程中两个跳转的地址是一直在发生变化的。第二:在循环过程中,我们可以看到寄存器的变化,看起来就像是在修复什么或者是写入什么,具体的希望大神可以解释下,总之就是不停的在变化
接下来我们要做的就是F8等他自己跳出去
4. 循环调出来了,大家看下位置
来到这里呢大家可以继续F8,不要着急,马上就出去了,F8运行到retn那个位置的时候就会跳转到真正的OEP了
5. OK,来到OEP
OK,来到OEP了,这里大家就可以进行脱壳了,可能友的朋友这时候就会问了,为什么反汇编窗口都是灰色看不懂的东西?呵呵,其实我也看不懂,这个时候大家可以点右键---分析---删除模块分析,然后就显示出反汇编代码了,当然直接脱也可以,为了让大家看清楚,让大家看看删除分析之后的截图
OK,这样就很清晰了把?
6. 脱壳查壳运行
脱壳大家都懂得,我也就不介绍了。再给大家介绍一种脱壳方法,也是ESP定律,这个是我在自己脱完壳后看别人的脱壳思路时候发现的,比我的要简洁的多。
1. 前面查壳就不多废话了,直接载入OD了
载入后F8两次到第一个call可以使用ESP定律,F9运行三次
2.运行三次后的位置
看到没?F9运行三次后直接倒了我们方法一中跳出循环后上面的几行代码哪里,然后F8走下去,到retn哪里就跳到OEP了。
后面的不多说了跟第一种方法一样的。
140.5M / 09-05
76.4M / 03-25
55M / 06-05
237.9M / 04-13
900.9M / 03-02
96.2M / 07-06
311.2M / 07-06
335M / 07-06
200M / 07-06
413.8M / 07-06
484.7M / 09-27
165.4M / 09-05
353.9M / 06-05
131.8M / 04-13
195.6M / 03-03
45.6M / 09-08
665.2M / 07-06
2.84G / 07-06
93M / 07-06
338.3M / 07-06
1.38G / 07-26
488.3M / 07-16
109.8M / 06-03
142M / 01-08
1.2M / 11-23
548.8M / 04-13
1.6M / 04-13
1.48G / 03-18
646.6M / 03-03
133.7M / 03-03
110.5M / 09-05
33.4M / 09-05
325.8M / 08-12
60M / 04-29
254M / 04-25
659M / 04-23
1M / 12-26
253.4M / 12-08
253M / 12-08
1.19G / 11-16
369M / 09-22
181.5M / 09-22
201.2M / 09-05
488.3M / 07-16
248.9M / 12-08
248.9M / 12-08
100.6M / 03-06
148.9M / 03-06
1.12G / 07-06
1.25G / 07-06
126.7M / 02-04
1.76G / 09-22
1.92G / 04-17
201.5M / 04-13
7.31G / 07-01
94.3M / 07-06
2.48G / 07-06
7.63G / 07-06
1M / 07-06
778.1M / 07-06
561.8M / 07-11
72M / 07-06
548.7M / 07-06
1.00G / 07-06
9.13G / 07-06
126.2M / 07-06
72M / 07-06
105.1M / 07-06
132M / 07-06
132M / 07-06