学习ximo老师课程的学习记录4

xi0405

5.手脱PECompact2.X壳

记录都只有第一次是完整的后续不同的方法只是到达OEP就结束

1.环境

windows11和XP机（XP中只是演示到达OEP的步骤，脱壳的操作是在windows11中进行的）

注：windows11中单步和ESP无法到达OEP（不知道为什么，反正我尝试了好多次，mov会跑飞，不是跳转也会跑飞，难受）ESP转到的位置不知道是在哪

2.工具

OD

Scylla（LoadPE和ImportREC修复不了）

PEiD

3.查壳

1

  

4.脱壳方法

1.Ctrl+F9（windows11）

2.2次内存法（windows11）

3.ESP（XP机）

5.具体脱壳

一、Ctrl+F9 （连续7次）

2

   

打开OD，重复7次Ctrl+F9到达，再单步      

3

   

到达OEP   

4

4

     

打开Scylla，dump  

5

5

   

dump查壳测试运行，需要修复IAT     

6

  

修复IAT（具体的我就不重复写了，可以到修复IAT——特例具体查看）   

7

7

7

7

7

7

7

  

修复转储  

8

  

二、2次内存法

点击菜单栏的m，设断后运行   

9

9

   

到达这里后单步，但retn需要跳过   

10

10

   

到达OEP  

   

三、ESP

XP机

打开OD，设置断点后记得删除断点：菜单栏调试->硬件断点     

11

11

11

11

x443681912

坐等楼主脱vmp教学

Aksullo

坐等后续内容