学习ximo老师课程的学习记录6

xi0405

7.手脱TELock0.98b1壳

壳脱了，但是无法运行，windows11是打开没反应，XP机是报错可以去脱TElock0.98b1壳，脱壳成功，运行不了

1.环境

windows11

2.工具

1.OD

2.Scylla

3.查壳

1

   

4.步骤

2次内存法（本来还有两种的但是我尝试了都使用不了，单步我也试了，XP中也尝试过，这里就只放出windows11操作到达OEP的和脱壳成功的过程）

一. 2次内存法

打开OD界面

   

到内存界面（如果第一次.rsrc设断运行不成功的话，就先设.text处运行后再重新设断.rsrc应该就行）

2

2

2

   

到达OEP

3

3

   

打开Scylla

4

4

     

8.手脱EXE32PACK壳

正常windows11可以脱壳，就不去XP机了

1.环境

windows11

2.工具

1.OD

2.Scylla

3.查壳

5

  

4.步骤

1.ESP

2.设断点BP IsDebuggerPresent（经验多了就知道了，但是我没经验，所以不懂）

一、ESP

打开OD界面，单步，这里我就不再详细说了

6

6

6

   

运行后到达这里，再单步继续

7

   

单步后到达这里

8

   

到达了OEP但是需要分析一下才能看出来（具体是什么原因我也不懂），记住还要记住OEP基地址，写入到Scylla中OEP

9

9

  

打开Scylla

10

10

   

运行结果和查壳

11

   

二、设断

打开OD，到数据窗口处命令，输入命令BP IsDebuggerPresent后Enter，再运行

12

  

取消断点，单步，后跟着图示来吧

13

13

13

13

13

   

跳转后需要分析一下后在OEP下断运行，就OK了

14

111

14