也祝愿本论坛越办越好。我也是小白一个,有不对之处,还望大佬们指点。首先我们查壳。
1.png (142.23 KB, 下载次数: 1)
下载附件
2023-8-5 07:09 上传
2.png (113.49 KB, 下载次数: 0)
下载附件
2023-8-5 07:09 上传
载入OD,(论坛有过VMP检测的OD,请自行下载),CTRL+G 我们输入Virtualprotect
3.png (154.11 KB, 下载次数: 0)
下载附件
2023-8-5 07:09 上传
确定后来到如下地址。我们在这里F2下断点。然后F9运行程序。
4.png (158.14 KB, 下载次数: 0)
下载附件
2023-8-5 07:09 上传
程序被断下,(根据栈平衡)我们在栈区域往下找,找到如下地址(0018FF88),在HEX资源区里我们CTRL+G 输入这个地址(0018F88)下硬件访问断点。
5.png (153.75 KB, 下载次数: 0)
下载附件
2023-8-5 07:20 上传
下好硬件断点后,我们再下一个内存访问断点。如下图:
6.png (131.52 KB, 下载次数: 1)
下载附件
2023-8-5 07:24 上传
然后我们F9运行程序,经过N多次的F9运行,(中间过程中有遇到循环的就把内存访问断点取消后,运行,过了循环在设置上,继续F9,关注着寄存器里的值。尤其EAX)
来到下图
7.png (133.41 KB, 下载次数: 0)
下载附件
2023-8-5 08:03 上传
箭头所示就是OEP了。为什么,我们来看下图
8.png (157.4 KB, 下载次数: 1)
下载附件
2023-8-5 08:09 上传
9.png (194.73 KB, 下载次数: 0)
下载附件
2023-8-5 08:09 上传
此时,我们在OD中鼠标右键--此处为新的EIP
10.png (163.7 KB, 下载次数: 0)
下载附件
2023-8-5 08:12 上传
然后我们此处脱壳。
11.png (185.71 KB, 下载次数: 0)
下载附件
2023-8-5 08:16 上传
保存后我们再来查下壳。
12.png (197.77 KB, 下载次数: 2)
下载附件
2023-8-5 08:16 上传
已经脱壳完成了,但是现在程序还不能运行,需要修复; VMP的壳修复我也没学会呢。等我学会了再继续。
有会VMP3.5-3.7壳修复IAT的 ,希望指点 感谢!