【脫文標(biāo)題】 手動(dòng)脫殼入門第十八篇 PC Shrinker 0.71
【脫文作者】 weiyi75[Dfcg]
【作者郵箱】 weiyi75@sohu.com
【作者主頁(yè)】 Dfcg官方大本營(yíng)
【使用工具】 Peid,Ollydbg,ImportREC
【脫殼平臺(tái)】 Win2K/XP
【軟件名稱】 Pcshrink.exe
【軟件簡(jiǎn)介】 Phrozen Crew PE Shrinker is an windows 9x/NT executable file compressor, allowing compressed executables to run, functionally,the same as always, but occupy a significantly less amount of disk space.
【軟件大小】 15 KB
【下載地址】 本地下載
PC Shrinker 0.71.rar
【加殼方式】 PC Shrinker 0.71 -> Virogen
【保護(hù)方式】 PC Shrinker壓縮殼
【脫殼聲明】 我是一只小菜鳥，偶得一點(diǎn)心得，愿與大家分享：)
--------------------------------------------------------------------------------
【脫殼內(nèi)容】
這個(gè)程序的壓縮選項(xiàng)是非常豐富的,從界面中也沒有加密選項(xiàng)，無(wú)效隱藏OD和設(shè)置異常。
先看看它加殼的記事本
本地下載
NOTEPAD.rar
首先Peid查殼，為PC Shrinker 0.71 -> Virogen，OD載入運(yùn)行，無(wú)任何異常，判斷其為壓縮殼。
0040AAFB > 9C PUSHFD//記事本外殼入口。
0040AAFC 60 PUSHAD //仍然是ESP定律
0040AAFD BD B7710000 MOV EBP,71B7 //這里的ESP為12FFA0
0040AB02 01AD 543A4000ADD DWORD PTR SS:[EBP 403A54],EBP
0040AB08 FFB5 503A4000PUSH DWORD PTR SS:[EBP 403A50]
0040AB0E 6A 40 PUSH 40
0040AB10 FF95 883A4000CALL DWORD PTR SS:[EBP 403A88]
0040AB16 50 PUSH EAX
0040AB17 50 PUSH EAX
0040AB18 2D 7D394000 SUB EAX,NOTEPAD.0040397D
0040AB1D 8985 7E394000MOV DWORD PTR SS:[EBP 40397E],EAX
0040AB23 5F POP EDI
0040AB24 8DB5 7D394000LEA ESI,DWORD PTR SS:[EBP 40397D]
0040AB2A B9 FC000000 MOV ECX,0FC
0040AB2F F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040AB31 5F POP EDI
0040AB32 FFE7JMP EDI
..................................................
命令行 dd 12ffa0
下硬件訪問-Dword斷點(diǎn)。
F9運(yùn)行
硬件中斷。
標(biāo)簽1
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
0040AAFB > 9C PUSHFD//記事本外殼入口。
0040AAFC 60 PUSHAD //
解壓縮過程，就是我們以前慢慢跟蹤的一下循環(huán)圈。
00132DC6 61 POPAD//堆棧平衡，完全工整對(duì)應(yīng)。
00132DC7 9D POPFD //這里是出口，我們斷在這里。
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
00132DC6 61 POPAD
00132DC7 9D POPFD //這里是出口，我們斷在這里。轉(zhuǎn)標(biāo)簽1看看
00132DC8 BA CC104000 MOV EDX,4010CC
00132DCD FFE2JMP EDX //EDX=4010CC,這個(gè)是地球人都只道的記事本的OEP
004010CC 55 PUSH EBP //在這里用Loadpe直接脫殼
004010CD 8BECMOV EBP,ESP
004010CF 83EC 44SUB ESP,44
004010D2 56 PUSH ESI//我們看到加密表沒有破壞,往下看到KERNEL32.GetCommandLineA
004010D3 FF15 E4634000CALL DWORD PTR DS:[4063E4]; KERNEL32.GetCommandLineA
004010D9 8BF0MOV ESI,EAX
004010DB 8A00MOV AL,BYTE PTR DS:[EAX]
004010DD 3C 22 CMP AL,22
004010DF 75 1B JNZ SHORT NOTEPAD.004010FC
004010E1 56 PUSH ESI
004010E2 FF15 F4644000CALL DWORD PTR DS:[4064F4]; USER32.CharNextA
004010E8 8BF0MOV ESI,EAX
004010EA 8A00MOV AL,BYTE PTR DS:[EAX]
004010EC 84C0TEST AL,AL
004010EE 74 04 JE SHORT NOTEPAD.004010F4
004010F0 3C 22 CMP AL,22
004010F2 ^ 75 ED JNZ SHORT NOTEPAD.004010E1
...........................................................
運(yùn)行ImportREC，選擇這個(gè)進(jìn)程。把OEP改為000010cc，點(diǎn)IT AutoSearch，點(diǎn)“Get Import”,函數(shù)都是有效的。FixDump，正常運(yùn)行,記事本脫殼完畢。
脫殼主程序
繼續(xù)OD載入它的主程序。
004066F8 > 9C PUSHFD//主程序外殼入口。
004066F9 60 PUSHAD //從這這句過后用ESP定律吧，
004066FA BD B42D0000 MOV EBP,2DB4 //到這里ESP=19ffa0
004066FF 01AD 543A4000ADD DWORD PTR SS:[EBP 403A54],EBP
00406705 FFB5 503A4000PUSH DWORD PTR SS:[EBP 403A50]
0040670B 6A 40 PUSH 40
0040670D FF95 883A4000CALL DWORD PTR SS:[EBP 403A88]
00406713 50 PUSH EAX
00406714 50 PUSH EAX
00406715 2D 7D394000 SUB EAX,PCSHRINK.0040397D
0040671A 8985 7E394000MOV DWORD PTR SS:[EBP 40397E],EAX
00406720 5F POP EDI
00406721 8DB5 7D394000LEA ESI,DWORD PTR SS:[EBP 40397D]
00406727 B9 FC000000 MOV ECX,0FC
0040672C F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040672E 5F POP EDI
0040672F FFE7JMP EDI
................................................................................
dd 19ffa0
下硬件訪問-Dword斷點(diǎn)。
F9運(yùn)行
硬件中斷。
001A2DD6 61 POPAD
001A2DD7 9D POPFD //堆棧平衡
001A2DD8 BA 00104000 MOV EDX,401000
001A2DDD FFE2JMP EDX //EDX=401000是主程序的OEP
00401000E8DB E8 //這種情況大家應(yīng)該見多了，點(diǎn)右鍵-分析-清除分析。
0040100105DB 05
0040100216DB 16
0040100300DB 00
0040100400DB 00
00401005A3DB A3
00401006DFDB DF
0040100737DB 37 ; CHAR '7'
0040100840DB 40 ; CHAR '@'
0040100900DB 00
0040100AE8DB E8
0040100BBFDB BF
0040100C15DB 15

版權(quán)聲明：本站文章來源標(biāo)注為YINGSOO的內(nèi)容版權(quán)均為本站所有，歡迎引用、轉(zhuǎn)載，請(qǐng)保持原文完整并注明來源及原文鏈接。禁止復(fù)制或仿造本網(wǎng)站，禁止在非www.sddonglingsh.com所屬的服務(wù)器上建立鏡像，否則將依法追究法律責(zé)任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學(xué)習(xí)參考，不代表本站立場(chǎng)，如有內(nèi)容涉嫌侵權(quán)，請(qǐng)聯(lián)系alex-e#qq.com處理。