本文最后编辑于 前,其中的内容可能需要更新。
esp定律脱壳
1 2 3 4 5 6 7 8 9 10 11 12 13
| 第一种方法: 1.第一行是pushed,且单步一次(f8)之后只有ESP是红的 2.esp右键数据窗口中跟随->选中开头的数据(随便多少)右键断点(硬件访问(三个都可以)) 3.调试->硬件断点->跟随 4.F9->F8->F8 5.分析->从模块中删除分析 6.右键ollydump脱壳调试进程(重建输入表一个,不重建输入表一个)
第二种: 1.HW break [ESP] (Hardware break) F9->F8->F8 2.分析->从模块中删除分析 3.右键ollydump脱壳调试进程(重建输入表一个,不重建输入表一个)
|
灰鸽子木马专杀工具破解
esp定律脱壳拉od去
下一个getfilesize的断点。然后f9运行

右键在反汇编窗口中跟随过去。F2下个断点

再去b模块(断点)里把自带的断点给删除了

f9运行起来之后就来到了getfilesize的断点之后。看到他有比较。在运行几次,看到跳转就把他nop
1 2 3 4
| 加壳了的程序都会变小 壳基本都有压缩功能 他比较的c6c8其实就是文件未脱壳的大小了 所以我们要把他比较之后的跳转nop了
|

另类脱壳
复制这里的修正大小

修正镜像大小->完整转存

import rec 打开
粘贴之前的大小,idt自动搜索->显示无效的->修正转储(之前转存的dump.exe)
