zoukankan      html  css  js  c++  java
  • picpick截屏软件脱壳

    0x01 准备

    OD
    基本查壳软件
    picpick可执行文件(不是快捷方式)

    0x02 查壳

    软件是2018年9月,还是比较新的
    显示EP区段是.vmp1,没见过,不知道是压缩壳还是加密壳,搜索所示yoda或者是伪装壳,反正还是需要找到OEP

    首字节是68,AF,D9,77
    在这里插入图片描述

    0x03 OD载入

    在这里插入图片描述
    这个类似于Aspack壳的特征,然后近callF7更近,之后经过单步调试发现壳会在两个jmp之间跳转,可能有一定的跳转条件,暂时没有时间研究,那么使用最后一次异常法试一次(试了一次程序好像没有暗桩和替换代码)

    1. 选项->调试 不忽略异常
      在这里插入图片描述

    2. 4次ctrl+F9程序直接起飞
      在这里插入图片描述

    3. 所以调试最后一次异常,按3次ctrl+F9,鼠标向上拖看到Push ebp,经过多次测试发现这个就是程序的入口点,之后F2设置断点
      在这里插入图片描述
      在这里插入图片描述

    0x04 利用od自带的插件ollydump进行脱壳

    脱完了,为1111文件,之后运行文件发现能运行,连修复IAT都省略了,真是方便

    在这里插入图片描述
    在这里插入图片描述

    成功了,最后用peid查了一下壳但是没有查出是什么编程语言编写的。。

  • 相关阅读:
    Windows 7 SP1无人值守自动应答文件制作
    Ubuntu GNOME单击任务栏图标最小化设置
    NOIP2017题解
    NOIP2017游记
    大模拟1.0
    奇袭
    礼物
    找硬币
    Fiolki
    SQLserver Delete from where 与Oracle delete from where 的差异
  • 原文地址:https://www.cnblogs.com/csnd/p/11800559.html
Copyright © 2011-2022 走看看