刚学会用ESP定律脱壳

飞鱼 · 发表于 2007-2-28 19:28:24

用Olldbg 将它打开，出现 "入口点预警"  框点" 确定" .
00407000 90             nop
  00407001 >  60             pushad 停在这行按"一下"F8 看寄存器中ESP的值（是12ffa4)  在命令行输入 hr 12ffa4  然后按回车－>F2－>F9
004073B0 /75 08          jnz short 11FC.004073BA    会停在这行点击调试－硬件断点－删除－确定  然后按F8
004073B2 |B8 01000000    mov eax,1  F8
004073B7 |C2 0C00       retn 0C       F8
004073BA \68 FC114000    push 11FC.004011FC F8
004073BF C3             retn    这里再按F8就可以回到程序自己的入口点。
004011FC 68 901C4000    push 11FC.00401C90    跳到这里了。右键 "脱壳在当前调试的进程 "  取个名字保存下。至此完美脱壳。
00401201 E8 F0FFFFFF    call 11FC.004011F6                ; jmp to msvbvm60.ThunRTMain
00401206 0000          add byte

psjdh · 发表于 2007-3-1 20:05:15

支持原创,自已搞出来的东西. :victory: :handshake

暗里着迷 · 发表于 2007-3-4 17:09:52

:victory: 好样的.能交流多几篇码?;)

ljj3346 · 发表于 2007-5-1 04:13:17

希望大家只要有好东东都拿到这来分享一下啊！

pourjet · 发表于 2007-5-3 13:58:19

提示: 作者被禁止或删除内容自动屏蔽

gang___feng · 发表于 2007-5-3 15:04:58

非常感谢哈

zeromusic · 发表于 2007-5-9 17:59:19

原帖由 pourjet 于 2007-5-3 13:58 发表
跳到这里了。右键 "脱壳在当前调试的进程 " 取个名字保存下。至此完美脱壳。

怎么我的OD里的点右键,没有"脱壳在当前调试的进程 " 这个选项的啊????

是这样的现在OD版本很多都经过修改汉化后的,你只要知到这个功能是OD的一个插件就可以了

happylinkai · 发表于 2007-5-12 06:36:38

支持原创的!

动力 · 发表于 2007-5-18 09:58:06

做复不错,学习中

yingfeng · 发表于 2007-5-28 11:44:19

顶，支持，再来几个

		自动登录	找回密码
密码			加入我们

pourjet pourjet 当前离线 UID 31635 注册时间 2007-5-3 阅读权限 0 最后登录 1970-1-1 禁止访问 IP卡该用户从未签到	发表于 2007-5-3 13:58:19 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
	PYG19周年生日快乐！
	回复支持反对使用道具举报显身卡

[原创] 刚学会用ESP定律脱壳

本帖子中包含更多资源

评分

相关帖子