昨天破解某款軟件是北鬥3.7的殼 本人比較懶(實際上是技術不夠)網上找脫殼機 全是V3.X的 不能完美脫掉,論壇上也沒有 我現在就發布一款吧.
方法一為本人自己脫了好半天才脫掉的方法,方法二為上麵鏈接裏別人的ESP思路,我在這裏隻是照搬,並非自己的思路,希望大家海涵,我對第二種方法F9運行三次不太明白,因為按照最後一次異常的方法,也是可以運行到第四次的,所以我不太明白為什麼隻運行三次。如果有知道的大神也可以跟帖賜教一下,感激不盡!
1. OD查殼—nSpack3.7的殼
2. 載入OD
看起來很眼熟,F8一次,然後下麵就可以使用ESP定律了,使用ESP定律下斷點,然後F9四次
3. F9四次後落到這個位置
接下來就是不停F8了,提前跟大家講,注意點:
①F8過程中不管是向上跳還是向下跳我們都讓他實現,這時候大家會說了,按照正常邏輯,向上的跳轉不是應該在下麵一行下斷跳過去嗎?起初我也是這樣做的,但是程序會跑飛,具體的原因我也不知道是為什麼,所以我就讓他跳上去看看
②接下來F8過程中大家可能會有疑惑,因為貌似我們陷入了一個死循環中,代碼在兩個跳轉中不停循環跳轉,這個時候希望大家不要放棄,為什麼呢?第一:我們首先可以看到的是地址框,雖然貌似兩個跳轉之間的反彙編代碼是相同的,但是事實上我們在跳轉過程中兩個跳轉的地址是一直在發生變化的。第二:在循環過程中,我們可以看到寄存器的變化,看起來就像是在修複什麼或者是寫入什麼,具體的希望大神可以解釋下,總之就是不停的在變化
接下來我們要做的就是F8等他自己跳出去
4. 循環調出來了,大家看下位置
來到這裏呢大家可以繼續F8,不要著急,馬上就出去了,F8運行到retn那個位置的時候就會跳轉到真正的OEP了
5. OK,來到OEP
OK,來到OEP了,這裏大家就可以進行脫殼了,可能友的朋友這時候就會問了,為什麼反彙編窗口都是灰色看不懂的東西?嗬嗬,其實我也看不懂,這個時候大家可以點右鍵---分析---刪除模塊分析,然後就顯示出反彙編代碼了,當然直接脫也可以,為了讓大家看清楚,讓大家看看刪除分析之後的截圖
OK,這樣就很清晰了把?
6. 脫殼查殼運行
脫殼大家都懂得,我也就不介紹了。再給大家介紹一種脫殼方法,也是ESP定律,這個是我在自己脫完殼後看別人的脫殼思路時候發現的,比我的要簡潔的多。
1. 前麵查殼就不多廢話了,直接載入OD了
載入後F8兩次到第一個call可以使用ESP定律,F9運行三次
2.運行三次後的位置
看到沒?F9運行三次後直接倒了我們方法一中跳出循環後上麵的幾行代碼哪裏,然後F8走下去,到retn哪裏就跳到OEP了。
後麵的不多說了跟第一種方法一樣的。
76.4M / 03-25
55M / 06-05
237.9M / 04-13
140.5M / 03-06
900.9M / 03-02
96.2M / 07-06
311.2M / 07-06
335M / 07-06
200M / 07-06
413.8M / 07-06
353.9M / 06-05
131.8M / 04-13
230.8M / 03-03
195.6M / 03-03
165.4M / 03-03
45.6M / 09-08
665.2M / 07-06
2.84G / 07-06
93M / 07-06
338.3M / 07-06
1.38G / 07-26
488.3M / 07-16
109.8M / 06-03
142M / 01-08
1.2M / 11-23
548.8M / 04-13
1.6M / 04-13
1.48G / 03-18
646.6M / 03-03
133.7M / 03-03
325.8M / 06-07
60M / 04-29
254M / 04-25
659M / 04-23
1M / 12-26
253.4M / 12-08
253M / 12-08
1.19G / 11-16
110.5M / 04-23
26.7M / 03-16
488.3M / 07-16
248.9M / 12-08
248.9M / 12-08
201.2M / 04-13
100.6M / 03-06
148.9M / 03-06
1.12G / 07-06
1.25G / 07-06
9.48G / 07-06
50KB / 07-06
116.2M / 04-10
1.92G / 04-17
201.5M / 04-13
7.31G / 07-01
94.3M / 07-06
2.48G / 07-06
7.63G / 07-06
1M / 07-06
778.1M / 07-06
509.7M / 07-06
561.8M / 07-11
1.32G / 01-19
72M / 07-06
548.7M / 07-06
1.00G / 07-06
9.13G / 07-06
126.2M / 07-06
72M / 07-06
105.1M / 07-06
132M / 07-06