程序：

运行

用 PEiD 载入程序

PEid 显示找不到相关的壳

脱壳：

用 OD 载入程序

这个是壳的入口地址

因为代码段的入口地址为 00401000

这三个是壳增加的区段

按 F8 往下走程序

经过这个 call 指令的时候，运行的时间多了一会

这个 jmp 将跳转到 004271B0

按 Ctrl+A 分析代码

这个地方也在代码段内，所以这个地方就是原程序的入口点

右键 -> Dump debugged process

点击 Dump 保存文件，运行

可以运行

之后再用 PEiD 看一下

是 VC++5.0

这只是把入口地址还给了原程序，但是壳的代码还在原程序中

用 OD 载入 test.exe，查看 PE 文件头

打开 LordPE

点击“PE编辑器”载入 test.exe

点击“区段”

选中“Have”，右键 -> 清除区段

相继删除 Have、a nice、day!

然后点击“保存”，再点击“确定”

然后点击“重建PE”

选择 test.exe

程序缩小到原来的 91%

运行程序

用 OD 载入程序

转载于:https://www.cnblogs.com/sch01ar/p/9846776.html

脱壳系列(一) - CrypKeySDK 壳相关推荐

什么是加壳和脱壳技术？加壳和脱壳技术是什么意思？
什么是加壳和脱壳技术?加壳和脱壳技术是什么意思? 加壳,是一种通过一系列数学运算,将可执行程序文件或动态链接库文件的编码进行改变(目前还有一些加壳软件可以压缩.加密驱动程序),以达到缩小文件体积或加密 ...
脱壳系列_0_FSG壳_详细版
1 查看信息使用ExeInfoPe查看此壳程序可以看出是很老的FSG壳. 分析: Entry Point : 000000154,熟悉PE结构的知道,入口点(代码)揉进PE头去了. 在WIN10 ...
脱壳系列_1_UPX壳_详细版
1 UPX壳的背景知识 UPX壳的功能有两种:给程序加壳.压缩程序简述:将程序压缩(体积变小),在每次程序运行执行时实时的对程序解压缩.upx和普通的压缩区别就在于实时性 2 查看带壳程序信息使用 ...
脱壳学习之加壳的概念
加壳加壳的主要目的是压缩大小和阻碍分析.加壳以后的可执行文件会将原来的可执行文件作为数据存储. 通过加密和一些反逆向技术(对抗反汇编?,反调试,反虚拟化等等)来让程序难以分析. 脱壳存根被加壳程序 ...
31. 脱壳篇-什么是壳
壳:作用就是保护程序. 加壳:先运行壳的代码,对主程序进行压缩或加密保护,因此程序的EP被壳的EP取代脱壳:解压解密,还原之后再用壳调用主程序的EP,主程序的EP叫OEP,主要就是找OEP 第一个对 ...
1071元！苹果上架iPhone 11系列智能电池壳：可充电、支持拍照
11月21日,苹果公司今日正式推出用于iPhone 11系列的智能电池壳产品,它是官方为iPhone制造的保护壳+外挂电池双重功能产品,本次更新主要为适配今年新品iPhone 11系列,增加了独立的拍 ...
手工脱壳之 FSG压缩壳【IAT反修复】
一.工具及壳介绍使用工具:Ollydbg,PEID,ImportREC,LoadPE FSG壳 2.0: 二.脱壳 1.追踪修复IAT表代码入口处,没有pushad特征,无法使用ESP定律. 查 ...
RE入门之脱壳——手脱UPX壳
很多加了壳的软件是很难逆向分析的,需要手脱.下面以UPX壳为例简单介绍一下如何手动脱壳需要工具:x64dbg. 以buuctf中re的新年快乐为例拿到程序以后使用x64dbg打开. F9运行到程序 ...
脱壳系列—— 揭开so section加密的美丽外衣
i春秋作家:HAI_ 0×00 前言对so的加密,https://bbs.pediy.com/thread-191649.htm大神的帖子里已经很详细的说明了.当然加密不是我们研究的重点,如何搞掉这 ...

脱壳系列(一) - CrypKeySDK 壳

程序：

脱壳：

脱壳系列(一) - CrypKeySDK 壳相关推荐

最新文章

热门文章