PECompact(壓縮殼)脫殼大全:
方法一:使用脫殼軟件直接脫
使用脫殼軟件《PEComAngela》,直接脫。
方法二:ESP大法秒脫(PECompact V2.X)
OD設(shè)置:忽略非法訪(fǎng)問(wèn)內(nèi)存異常,其它不忽略任何異常。
00401000 > B8 1C164800 MOV EAX,PEiD.0048161C ;殼入口點(diǎn)
00401005 50 PUSH EAX
00401006 64:FF35 0000000>PUSH DWORD PTR FS:[0]
0040100D 64:8925 0000000>MOV DWORD PTR FS:[0],ESP ;在這里直接使用ESP定律
;下硬件斷點(diǎn) hr [ESP]值(一
般為0012ffbc)
;[F9]
00401014 33C0 XOR EAX,EAX
0048164B 83C4 04 ADD ESP,4 ;停在這里,然后向下單步跟。
0048164E 55 PUSH EBP
0048164F 53 PUSH EBX
00481650 51 PUSH ECX
00481651 57 PUSH EDI
004816E3 5A POP EDX
004816E4 5E POP ESI
004816E5 5F POP EDI
004816E6 59 POP ECX
004816E7 5B POP EBX
004816E8 5D POP EBP
004816E9 FFE0 JMP EAX ;跟到這里,也可以使用[F4]直
接運(yùn)行到當(dāng)前。
;這里就是關(guān)鍵跳,直飛入口點(diǎn)
按[F8]一次,飛。
004816EB 0000 ADD BYTE PTR DS:[EAX],AL
004816ED 0000 ADD BYTE PTR DS:[EAX],AL
004816EF 0000 ADD BYTE PTR DS:[EAX],AL
004629EC 6A 60 PUSH 60 ;真正入口點(diǎn),在這里DUMP就
可以了。
004629EE 68 384A4300 PUSH PEiD.00434A38
004629F3 E8 B4180000 CALL PEiD.004642AC
004629F8 BF 94000000 MOV EDI,94
004629FD 8BC7 MOV EAX,EDI
004629FF E8 5CFDFFFF CALL PEiD.00462760
脫出來(lái)的程序一般都是可以正常運(yùn)行的,但比如[98記事本]這樣的程序需要修復(fù)輸入表。
修復(fù)時(shí)填:
OEP=000010CC
RVA=000062E4
SIZE=00406520-004062E4=23C
先用OD把殼脫掉,再用ImportREC修復(fù)文件時(shí)所選擇的文件應(yīng)該是OD脫完殼的文件。
- PC官方版
- 安卓官方手機(jī)版
- IOS官方手機(jī)版