PECompact(压缩壳)脱壳大全:
方法一:使用脱壳软件直接脱
使用脱壳软件《PEComAngela》,直接脱。
方法二:ESP大法秒脱(PECompact V2.X)
OD设置:忽略非法访问内存异常,其它不忽略任何异常。
00401000 > B8 1C164800 MOV EAX,PEiD.0048161C ;壳入口点
00401005 50 PUSH EAX
00401006 64:FF35 0000000>PUSH DWORD PTR FS:[0]
0040100D 64:8925 0000000>MOV DWORD PTR FS:[0],ESP ;在这里直接使用ESP定律
;下硬件断点 hr [ESP]值(一
般为0012ffbc)
;[F9]
00401014 33C0 XOR EAX,EAX
0048164B 83C4 04 ADD ESP,4 ;停在这里,然后向下单步跟。
0048164E 55 PUSH EBP
0048164F 53 PUSH EBX
00481650 51 PUSH ECX
00481651 57 PUSH EDI
004816E3 5A POP EDX
004816E4 5E POP ESI
004816E5 5F POP EDI
004816E6 59 POP ECX
004816E7 5B POP EBX
004816E8 5D POP EBP
004816E9 FFE0 JMP EAX ;跟到这里,也可以使用[F4]直
接运行到当前。
;这里就是关键跳,直飞入口点
按[F8]一次,飞。
004816EB 0000 ADD BYTE PTR DS:[EAX],AL
004816ED 0000 ADD BYTE PTR DS:[EAX],AL
004816EF 0000 ADD BYTE PTR DS:[EAX],AL
004629EC 6A 60 PUSH 60 ;真正入口点,在这里DUMP就
可以了。
004629EE 68 384A4300 PUSH PEiD.00434A38
004629F3 E8 B4180000 CALL PEiD.004642AC
004629F8 BF 94000000 MOV EDI,94
004629FD 8BC7 MOV EAX,EDI
004629FF E8 5CFDFFFF CALL PEiD.00462760
脱出来的程序一般都是可以正常运行的,但比如[98记事本]这样的程序需要修复输入表。
修复时填:
OEP=000010CC
RVA=000062E4
SIZE=00406520-004062E4=23C
先用OD把壳脱掉,再用ImportREC修复文件时所选择的文件应该是OD脱完壳的文件。
- PC官方版
- 安卓官方手机版
- IOS官方手机版