PECompact 壳的脱法

sincoder · 发表于 2012-3-24 00:17

PECompact 有一个特点就是入口点和原来程序的入口点是相同的，那么只有在载入程序的时候设置对 eip 的地址设置硬件断点，下次程序直接到这一块的时候也就是脱完壳的时候此时我们只有转储修复下就行了
1.OD 载入
2.he eip
3.F9 运行
4.转储修复

风云思星 · 发表于 2012-3-24 00:20

支持原创

sincoder · 发表于 2012-3-24 00:23

我的一楼，，今晚要拖个加壳的任务管理器百度到方法自己实践了下问题迎刃而解啊

飞龙使者 · 发表于 2012-3-24 00:28

就是这样。。。ESP定律直接硬件断点

知乐君子 · 发表于 2012-4-16 19:31

有多种脱法，我通常使用如下：
1。单步

2。ESP定律

3。BP VirtualFree

SHIFT+F9，取消断点

ALT+F9

查找 push 8000(特征码)

运行到这

单步跟

4。BP VirtualFree

两次SHIFT+F9

中断后取消断点，Alt+F9返回
单步走。

疯狂的小鬼 · 发表于 2012-4-16 19:32

= =你这复制黏贴的也太牛了

mm76566971mm · 发表于 2012-5-11 21:36

知乐君子发表于 2012-4-16 19:31
有多种脱法，我通常使用如下：
1。单步

我看视频教程按SHIFT+F9后发现跟视黑鹰频教程不一样啊，我们两个的要查软件的壳都是一样的，为什么会在这步出现问题 QQ截图20120511212641.png

帐号		自动登录	找回密码
密码			注册[Register]

[原创] PECompact 壳的脱法

个人中心