前言

因为FSG是压缩壳，所以脱壳时最应该尝试的是ESP定律，其次就是单步跟踪，这里入口点没有PUSHAD/PUSHFD指令，所以用单步跟踪寻找OEP，再者也可以尝试用API特征寻找OEP

API特征：

release版的VS2013的第一个API调用是：GetSystemTimeAsFileTime

VC6.0的第一个API调用是：GetVersion

Delphi的第一个API调用是：GetModuleHandleA

单步跟踪寻找OEP

1、OD加载程序后，单步观察堆栈变化

2、程序一开始并没有保存环境，遇到这种情况单步继续跟踪，发现有解密代码的地方

3、这一片循环为修复IAT，修复完成会执行圈中的JMP，而这个JMP就是跳转到原始OEP的

API寻找OEP

1、用OD载入后，一开始便是POPAD

2、这里可以尝试在GetSystemTimeAsFileTime下断点

3、将程序运行起来，一开始断下来的是来自系统模块，可以判断与我们要找的无关

4、程序继续运行，可以看到调用来自00.0040221B，而不是来自系统模块

5、k窗口第一个栈回朔去看，看到这个组合（初始化Cookie）的时候就可以知道离真正的OEP不远了

6、点击第二个栈回朔，找到CALL、JMP，也就是真正的OEP

DUMP修复

1、去掉断点，运行到OEP处，DUMP下来

2、管理员权限打开ImportREC，选择正在脱壳的进程，输入真正的OEP地址，点击自动查找IAT，然后获取输入表，这里只获取到了kernel32.dll

3、来到上面找到的GetSystemTimeAsFileTime处，右键“数据窗口中跟随”，点击“内存地址”，查看函数为什么没获取全

4、由于ImportREC是以0为隔开标志的，而这里被改成了FFFFFFFF，所以导致ImportREC没将下面那些获取到

5、直接右键修改为0，让ImportREC可以正常识别

6、重新获取，可以看到user32.dll模块也获取到了，然后点击“转储到文件”，选择刚刚Dump下来的文件，这时就脱壳成功并可以正常运行了

脱壳之压缩壳-FSG相关推荐

逆向破解程序脱壳篇-压缩壳
一.普及 What?壳所谓"壳"就是专门压缩的工具. 这里的压缩并不是我们平时使用的RAR.ZIP这些工具的压缩,壳的压缩指的是针对exe.com.和dll等程序文件进行压缩,在 ...
006 kkrunchy_Ryd之类FSG压缩壳
文章目录前言查壳 OD脱壳修复导入表前言最近一直在看脱壳系列的教程,国内能找到的脱壳视频几乎都看了个遍,大部分由于年代实在是太久了,附带的示例程序完全不能运行,或者是某些未知原因用相同的步骤 ...
脱壳入门初级教学(第四课常见压缩壳与加密壳)
转自:http://bestmk.cn/thread-491.htm 加壳软件按照其加壳目的和作用,可分为两类:一是压缩(Packers),二是保护(Protectors).压缩这类壳主要目的是减小程 ...
脱壳入门（三）之UPX压缩壳
脱壳入门(三)之UPX压缩壳一.找OEP 查壳:UPX壳.链接器版本2.25(可能是Delphi程序).区段信息根据ESP定律寻找OEP OEP定律原理:壳代码就像一个函数,进入时会开辟堆栈.保存 ...
【2022.1.3】手脱压缩壳练习（含练习exe）
[2022.1.3]手脱压缩壳练习(含练习exe) 文章目录 [2022.1.3]手脱压缩壳练习(含练习exe) 0.简介 1.单步跟踪法 (#)方法介绍 (0)练习exe下载 (1).查看源程序 ( ...
【胖虎的逆向之路】04——脱壳（一代壳）原理脱壳相关概念详解
[胖虎的逆向之路]04--脱壳(一代壳)原理&脱壳相关概念详解 [胖虎的逆向之路]01--动态加载和类加载机制详解 [胖虎的逆向之路]02--Android整体加壳原理详解&实现 [胖 ...
android+so+upx,UPX压缩壳简介
文件目录首先看看UPX压缩壳的一个特点壳特点拿到一个so文件先放进IDA解析一波,从导出函数列表中我们可以看到一个函数叫做init_proc(),点进去可以看到上面的一大堆IDA识别不了的代码, ...
手工脱壳之 FSG压缩壳【IAT反修复】
一.工具及壳介绍使用工具:Ollydbg,PEID,ImportREC,LoadPE FSG壳 2.0: 二.脱壳 1.追踪修复IAT表代码入口处,没有pushad特征,无法使用ESP定律. 查 ...
35. 脱壳篇-UPX和WinUpack压缩壳的使用和脱法
UPX官网:http;//upx.sourceforge.net UPX加壳通过cmd窗口执行,进入upx目录,执行: upx.exe fishc.exe 或者直接将exe拖至upx.exe上即可 ...
脱壳系列_0_FSG壳_详细版
1 查看信息使用ExeInfoPe查看此壳程序可以看出是很老的FSG壳. 分析: Entry Point : 000000154,熟悉PE结构的知道,入口点(代码)揉进PE头去了. 在WIN10 ...

脱壳之压缩壳-FSG

前言

单步跟踪寻找OEP

API寻找OEP

DUMP修复

脱壳之压缩壳-FSG相关推荐

最新文章

热门文章