KByS 0.28脱壳 实战

tie1zhu

KByS 0.28脱壳 实战

看了 B站上面的《吾爱破解论坛官方入门教学培训（Windows逆向入门）》，尝试完成了第一课作业五，写个帖子记录一下。

工具：

• ExeinfoPe：查壳工具。
• OllyDbg：调试程序，寻找OEP。
• LordPE：抓取内存映像【dump】。
• ImportREConstructor：重建输入表。

下文中的演示文件来自于 爱盘， 吾爱破解论坛官方入门教学培训第一期文件夹下面。

---

使用ESP定律法脱壳。

具体的步骤：

• 查壳，KByS 壳，压缩壳。
• 
• 使用OllyDbg调试。
• 
• 单步步过几次次；发现了 熟悉的 pushad ，这就能用ESP定律喽。
• 
• 在ESP上面右键- 数据窗口中跟随。
• 
• 数据区-右键-断点-硬件访问-word。
• 
• 运行。
• 
• 删除硬件断点。
• 
• 往下一直单步跟踪，直到00454D5B 的 jmp。
• 
• 单步步过一次。【右键-分析-分析代码】
• 
• 即可看到OEP   1DDAC。
• 
• 使用LordPE来dump内存映像。
• 右键-修正镜像大小，右键-完整转存。
• 
• 使用ImportREConstructor重建输入表，选进程，填写OEP，IAT自动搜索-获取导入表。
• 
• 修正转储 到刚才dump下来的文件，并运行。
• 

默认密码：52pojie 或者 www.52pojie.cn

woaipojie2014

多谢大佬，这么详细的教程