大家好,又见面了,我是你们的朋友全栈君。
很多壳是没法用Ollydump弄好的,所以需要用其他的工具
这里的工具是:PETools和Import REConstructor
先按照UPX脱壳的方法,找到OEP
现在已经到达了OEP
用PETools来实现程序的DUMP
找到对应的程序,完整转存,保存好久可以运行了~~~
但是,当我们换个版本的PETools~
dump成功后,运行程序
程序竟然报错了~~~
(论工具的重要性)
这个时候就需要用到Import REC了
首先在程序里找到IAT的位置
先点击自动查找IAT,获取输入表
然后手动检查下:OEP应该是00001000(相对偏移RVA)
3180是IAT的RVA
然后一直往下看,查看IAT的大小
所以终点是3290(UPX是最简单的壳,IAT是存在同一个地方的,很多高级壳IAT可能有错误,也可能存在不同的地方,需要一段一段处理)
所以SIZE = 0x3290 – 0x3180 = 0x110
然后看一眼输入表函数信息,有没有无效的
点击转储到文件(刚才的DUMP文件)
这时候还是报错,我们需要再使用一次PETools
选择Rebuild PE,选中刚才的DUMP文件
再执行程序,发现可以正常运行了~~~
附上实验的程序和工具~
OD可以从52pojie或者看雪下载咯~
发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/159792.html原文链接:https://javaforall.cn
【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛
【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...