cxx17 发表于 2006-3-22 19:46:11

fsg2.0的简单脱壳方法

fsg2.0的简单脱壳方法
      今天下了个fsg2.0的脱壳录象，看了下，发现fsg2.0的壳确实很好脱。下面我就来和大家分享一下这个壳的脱法。
用od载入后来到这里：
00400154 ,esp
0040015A      61                popad
0040015B      94                xchg eax,esp
0040015C      55                push ebp
0040015D      A4                movs byte ptr es:,byte ptr ds:
0040015E      B6 80             mov dh,80
00400160      FF13            call dword ptr ds:
00400162    ^ 73 F9             jnb short Cra.0040015D                        ; 这里往回跳
00400164      33C9            xor ecx,ecx                                        ; f4来到这里
00400166      FF13            call dword ptr ds:
00400168      73 16             jnb short Cra.00400180
0040016A      33C0            xor eax,eax
0040016C      FF13            call dword ptr ds:
0040016E      73 1F             jnb short Cra.0040018F
00400170      B6 80             mov dh,80
00400172      41                inc ecx
00400173      B0 10             mov al,10
00400175      FF13            call dword ptr ds:
00400177      12C0            adc al,al
00400179    ^ 73 FA             jnb short Cra.00400175                        ; 往回跳
0040017B      75 3A             jnz short Cra.004001B7                        ; f4来到这里
0040017D      AA                stos byte ptr es:
0040017E    ^ EB E0             jmp short Cra.00400160                        ; 回跳
00400180      FF53 08         call dword ptr ds:                        ; f4来到这里
00400183      02F6            add dh,dh
00400185      83D9 01         sbb ecx,1
00400188      75 0E             jnz short Cra.00400198
0040018A      FF53 04         call dword ptr ds:
0040018D      EB 24             jmp short Cra.004001B3                         ；跳到004001B3
0040018F      AC                lods byte ptr ds:

004001B3      8BC5            mov eax,ebp                                        ; 来到004001b3
004001B5      B6 00             mov dh,0
004001B7      56                push esi
004001B8      8BF7            mov esi,edi
004001BA      2BF0            sub esi,eax
004001BC      F3:A4             rep movs byte ptr es:,byte ptr ds:
004001BE      5E                pop esi
004001BF    ^ EB 9F             jmp short Cra.00400160                        ; 回跳
004001C1      5E                pop esi                                          ; f4到这里
004001C2      AD                lods dword ptr ds:
004001C3      97                xchg eax,edi
004001C4      AD                lods dword ptr ds:
004001C5      50                push eax
004001C6      FF53 10         call dword ptr ds:
004001C9      95                xchg eax,ebp
004001CA      8B07            mov eax,dword ptr ds:
004001CC      40                inc eax
004001CD    ^ 78 F3             js short Cra.004001C2
004001CF      75 03             jnz short Cra.004001D4                        ; 到这里千万不能往下跳，跳就飞了。
004001D1    - FF63 0C         jmp dword ptr ds:                           ; 这里用f4到这里后，再按f8就可以跳到程序的oep了


0040169C      68            db 68                                              ;这里就是程序的oep，脱壳就行了。
0040169D      E4            db E4
0040169E      9A            db 9A
0040169F      40            db 40                                              ;CHAR '@'
004016A0      00            db 00
004016A1      E8            db E8
004016A2      EE            db EE
004016A3      FF            db FF
004016A4      FF            db FF
004016A5      FF            db FF
004016A6      00            db 00

      文中没说的地方都用f8过，脱壳完成后不用修复了就行了。

[ 本帖最后由 cxx17 于 2006-3-22 11:48 编辑 ]

moyer 发表于 2006-4-18 22:29:28

我看是你运气好,不是这壳简单,不信你在试试别的程序....

野猫III 发表于 2006-4-19 03:02:21

0040017B      75 3A             jnz short Cra.004001B7

楼主是运气好吧。。。我放个加了FSG 2.0的给大家试试！

talent 发表于 2006-5-2 16:55:00

是啊，FSG 2.0 的壳还是有点难度的。

hnmeec 发表于 2006-5-9 15:27:58

真的有这么容易吗？

忧伤的路西法 发表于 2006-5-9 15:37:40

主要是修复IAT的地方有点难度,其实手动修复的话FSG2.0的也不难

wqwstc 发表于 2006-5-10 21:37:17

那到底该如何手动修复IAT

vfer 发表于 2006-5-30 21:29:24

FSG的壳,按照楼主的方法脱后会出现问题

问题:
    无法定位序数65535于动态连接库MSVBVM60.DLL上

eopenfang 发表于 2006-6-1 12:31:07

用单步也能搞定？！！~！

我脱这个壳也有一段时间了，当时用学到的方法都去试了，没有一种可以脱，后来只好让OD自已找OEP的。呵。没有搞定，一直还有疑问呢！望总论主能出来指点！

jh0262 发表于 2006-6-1 22:38:24

就是啊!这种壳太难了,希望有人做个脱壳教程啊!关键是修复很难啊!!!!
页: [1] 2 3 4
查看完整版本: fsg2.0的简单脱壳方法