脱壳教程 jdpack如何脱壳?
这是一个加壳软件,软件加壳后可以检测trw及sice,它的1.00版检测到trw或sice时只是提示,到了1.01版,检测到就会出现非法操作.
未注册版好像没有时间限制,但是给软件加壳后每次运行就会提示"Unregistered JDPack.This file PACKED by Unregistered JDPack1.0* from http://www.tlzj18.com"
使用工具:TRW kWDSM
脱壳:
我最初追踪的是1.00版,当时软件还只是提示,我就很轻易的找到了关键
bpx getversionexa
g
断下后
先bc(因为以后有几个getversionexa的调用,但是与脱壳无关)
下面会有2个Jz,但是不能让它跳,否则就提示检测到调试器(因为我用的是TRW)
输入 r fl z
之后就是一个jmp
F8继续,后面就很简单了,我只记得快到的时候会有
popa
jmp eax
然后makepe即可
1.01的脱壳方法也是
bpx getversionexa
g
就到了这里
0187:0040E250 CALL NEAR [EBP 004031B1] //停在这里,先bc
0187:0040E256 LEA EBX,[EBP 00403449]
0187:0040E25C CMP DWORD [EBX 10],BYTE01
0187:0040E260 JZ 0040E276 (JUMP)//下 r fl z,跳的话就完了.
0187:0040E262 CMP DWORD [EBX 10],BYTE02
0187:0040E266 JZ 0040E26A
0187:0040E268 JMP SHORT 0040E284 //F8进去
0187:0040E284 MOV EDX,[EBP 00403441] //到了这里
0187:0040E28A MOV ESI,[EBP 004031D9]
0187:0040E290 ADD ESI,EDX
0187:0040E292 MOV EAX,[ESI 0C]
0187:0040E295 OR EAX,EAX
0187:0040E297 JZ NEAR 0040E3EA (NO JUMP) //看到这里吗,就g 40E3EA吧
0187:0040E29D ADD EAX,EDX
0187:0040E29F MOV [EBP 004031A5],EAX
0187:0040E2A5 MOV EBX,EAX
0187:0040E3EA MOV EDX,[EBP 00403441]
0187:0040E3F0 MOV EAX,[EBP 004031D5]
0187:0040E3F6 ADD EAX,EDX
0187:0040E3F8 MOV [ESP 1C],EAX
0187:0040E3FC POPA
0187:0040E3FD PUSH EAX
0187:0040E3FE RET // 到了这里,按F8就返回程序的OEP处了,直接makepe即可 破解:
破解它可难倒了我,我用kwdsm反汇编后,半天都摸不着头脑
没有办法只有载入已加壳的Notepad.exe跟踪,发现多了一段代码
0187:0040D3EA 6A30 PUSH BYTE30 //就是多了这么一段
0187:0040D3EC 8D9D4D324000 LEA EBX,[EBP 0040324D] //
0187:0040D3F2 53 PUSH EBX //
0187:0040D3F3 8D9D61324000 LEA EBX,[EBP 00403261] //
0187:0040D3F9 53 PUSH EBX //
0187:0040D3FA 6A00 PUSH BYTE00 //
0187:0040D3FC FF95D5314000 CALL NEAR [EBP 004031D5] //这里弹出提示窗口
0187:0040D402 8B9565344000 MOV EDX,[EBP 00403465]
0187:0040D408 8B85ED314000 MOV EAX,[EBP 004031ED]
0187:0040D40E 03C2 ADD EAX,EDX
0187:0040D410 8944241C MOV [ESP 1C],EAX
0187:0040D414 61 POPA
0187:0040D415 50 PUSH EAX
0187:0040D416 C3 RET
再次使用KWDSM反汇编,找到
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00402BE8(C), :00402E57(C)
|
:00402FAA 6A30 push 00000030 //
:00402FAC 8D9D4D324000 lea ebx, dword ptr [ebp 0040324D]
:00402FB2 53 push ebx
:00402FB3 8D9D61324000 lea ebx, dword ptr [ebp 00403261]
:00402FB9 53 push ebx
:00402FBA 6A00 push 00000000
:00402FBC FF95D5314000 call dword ptr [ebp 004031D5] //这断和那断多的代码不是一样吗?
:00402FC2 8B9565344000 mov edx, dword ptr [ebp 00403465]
:00402FC8 8B85ED314000 mov eax, dword ptr [ebp 004031ED]
:00402FCE 03C2 add eax, edx
:00402FD0 8944241C mov dword ptr [esp 1C], eax
:00402FD4 61 popad
:00402FD5 50 push eax
:00402FD6 C3 ret
于是跳转到402e57* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00402FA5(U)
|
:00402E52 8B460C mov eax, dword ptr [esi 0C]
:00402E55 0BC0 or eax, eax
:00402E57 0F844D010000 je 00402FAA //这里改为0F8465010000即可
:00402E5D 03C2 add eax, edx
:00402E5F 8985BD314000 mov dword ptr [ebp 004031BD], eax
:00402E65 8BD8 mov ebx, eax
:00402E67 50 push eax
:00402E68 FF95E4334000 call dword ptr [ebp 004033E4]
:00402E6E 0BC0 or eax, eax
:00402E70 7555 jne 00402EC7
:00402E72 53 push ebx
:00402E73 FF95E8334000 call dword ptr [ebp 004033E8]
:00402E79 0BC0 or eax, eax
:00402E7B 754A jne 00402EC7
:00402E7D FFB5BD314000 push dword ptr [ebp 004031BD]
:00402E83 8D9D06334000 lea ebx, dword ptr [ebp 00403306]
:00402E89 53 push ebx
:00402E8A 8D9D01354000 lea ebx, dword ptr [ebp 00403501]
:00402E90 53 push ebx
:00402E91 FF95D9314000 call dword ptr [ebp 004031D9]
:00402E97 83C40C add esp, 0000000C
:00402E9A 6A30 push 00000030
:00402E9C 8D9DA8324000 lea ebx, dword ptr [ebp 004032A8]
:00402EA2 53 push ebx
:00402EA3 8D9D01354000 lea ebx, dword ptr [ebp 00403501]
:00402EA9 53 push ebx
:00402EAA 6A00 push 00000000
:00402EAC FF95D5314000 call dword ptr [ebp 004031D5]
:00402EB2 83BDDD31400001 cmp dword ptr [ebp 004031DD], 00000001
:00402EB9 7408 je 00402EC3
:00402EBB 6A00 push 00000000
:00402EBD FF95C5314000 call dword ptr [ebp 004031C5]
cookies是什么意思?cookies的保存路径在哪?
1 cookies是什么意思Cookies是一个储存于浏览器目录中的小文本,记录你访问一个特定站点的信息,只能被该站点读回。储存在Cookies中的大部分信息是普通的,如:每一次的击键信息和被访站点的地址等。但是许多Web
详情2018-01-18 17:06:11责编:llp 来源:驱动管家ie浏览器出现0day漏洞怎么办?修复0day漏洞的方法
日前有安全机构曝光了IE浏览器的一个0day漏洞,利用这个0day漏洞(CVE-2012-4681)攻击者可以绕过Windows的ASLR(地址空间布局随机化)防护机制,访问用户曾访问过的计算机上所有文件。Windows XP、Vista和Windo
详情2018-01-04 15:37:50责编:llp 来源:驱动管家怎么制作shift后门?shift后门怎么开?
shift后门是黑客希望以后方便进入服务器而在没有密码的情况下为进入服务器系统而设置的一个后门。其操作就是在不知道管理员密码的情况下,连续按5次shift键来启动粘滞键,已进入服务器的系统程序管理器。前几天搞
详情2018-01-13 11:06:22责编:llp 来源:驱动管家网站域名被劫持了怎么办?网站域名被劫持的预防方法
网站域名被劫持,网站dns被劫持,域名跳转到别的网站怎么解决? 出现网站域名跳转到其他网站,这一现象很可能是域名被劫持。【网站域名被劫持——概念】简单来说,域名劫持就是把原本准备访问某网站的用户,在不
详情2018-01-07 15:53:11责编:llp 来源:驱动管家服务器有哪三大攻击杀手?什么是cc攻击?
服务器方法有很多 如网站在同一时间受到大量的访问流量 超过网站服务器所能承受的限制 那么网站所解析的服务器就会崩溃。主流的服务器攻击方式有多种手段,但是唯独DDoS攻击、CC攻击以及ARP欺骗,这些攻击方式
详情2018-01-13 14:51:31责编:llp 来源:驱动管家怎么破解路由器密码,实现内网中反弹木马的上线?
本文总结几个破解路由器密码的方法以及如何实现内网中反弹木马的上线:一 扫描路由器端口为了路由器的安全,网管通常都会将路由器的默认端口(80)给更改掉,所以我们破解路由器密码的第一步就是必须要找到路由器的
详情2018-01-15 10:30:22责编:llp 来源:驱动管家dedecms是什么?dedecms v5.6 final版本有哪些漏洞?
影响版本:DEDECMS v5 6 Final程序介绍:DedeCms 基于PHP+MySQL的技术开发,支持Windows、Linux、Unix等多种服务器平台,从2004年开始发布第一个版本开始,至今已经发布了五个大版本。DedeCms以简单、健壮、灵活
详情2018-01-17 13:30:56责编:llp 来源:驱动管家怎么使用野草weedcmsV5.2.1删除文件漏洞?
member php if($action==
详情2018-01-09 17:58:26责编:llp 来源:驱动管家新型勒索病毒来袭!新型勒索蠕虫病毒petya分析报告
6月27日晚间,一波大规模勒索蠕虫病毒攻击重新席卷全球。媒体报道,欧洲、俄罗斯等多国政府、银行、电力系统、通讯系统、企业以及机场都不同程度的受到了影响。阿里云安全团队第一时间拿到病毒样本,并进行了分析
详情2018-01-10 16:04:55责编:llp 来源:驱动管家什么是后门程序?后门程序有哪些分类?
后门程序又称特洛伊木马,其用途在于潜伏在电脑中,从事搜集信息或便于黑客进入的动作。后程序和电脑病毒最大的差别,在于后门程序不一定有自我复制的动作,也就是后门程序不一定会“感染”其他电脑。后门是一种
详情2018-01-08 13:34:17责编:llp 来源:驱动管家
- 爱奇艺视频卡可以领取爱奇艺会员吗?爱奇艺会员怎么领?
- win8系统使用不习惯怎么办?一键教你卸载win8系统
- 电脑音箱有杂音一般是什么原因?怎么处理
- 电脑usb接口没反应有什么办法解决
- 遇到程序无响应可以利用这些快捷键结束进程
- 华硕主板怎么设置u盘启动?利用它的快捷键就可以了
- 移动硬盘连接到电脑后无法识别不显示盘符 磁盘管理器提示“未初始化”
- 华为手机开不了机的7个原因 华为手机如何节省流量?
- 红米3评测:看红米3真机图赏就知道该不该买?
- c盘空间不足是什么原因?怎样排查c盘空间不足的问题?
- 摄像头设置怎么弄?带有麦克风的摄像头怎么用qq视频?
- 黑客培训 怎么样才能成为黑客?
- u盘中毒怎么清除?清除U盘病毒可以用这三招
- Win10能不能使用杜比音效?win10安装杜比音效驱动的方法
- 微信朋友圈广告投放的流程是什么?微信朋友圈广告投放费用
- 搜狗浏览器下载失败了是怎么回事?怎样提高搜狗浏览器下载成功率?
- 宏碁4752g笔记本想要升级系统怎么升
- 三星手机电池在校准的时候要注意写什么
- 飞机上不能使用手机将成历史 飞行模式专利竟出自华为
- 物联网时代即将到来 安全问题或成重中之重