作者WPC001 ()
站内Programming
标题[问题] 这是什麽壳?
时间Thu Feb 19 02:05:29 2009
有熟悉加壳技术的大大在嘛?
请问一下这是哪一个壳
020EA49A: 60 PUSHAD
020EA49B: 9C PUSHFD
020EA49C: FC CLD
020EA49D: B801000000 MOV EAX, 00000001H
020EA4A2: B9FFFF0000 MOV ECX, 0000FFFFH
020EA4A7: E0FE LOOPNZ 20EA4A7H
020EA4A9: 48 DEC EAX
020EA4AA: 83F800 CMP EAX, 00000000H
020EA4AD: 75F3 JNZ 20EA4A2H
020EA4AF: 6843741207 PUSH 07127443H -> kernel32.dll
020EA4B4: FF15C0313F00 CALL [003F31C0H] ; LoadLibraryA
020EA4BA: 6850741207 PUSH 07127450H -> VirtualProtect
020EA4BF: 50 PUSH EAX
020EA4C0: FF1558313F00 CALL [003F3158H] ; GetProcAddress
020EA4C6: 8BD8 MOV EBX, EAX
020EA4C8: 50 PUSH EAX
020EA4C9: 8BCC MOV ECX, ESP
020EA4CB: 51 PUSH ECX
020EA4CC: 6A40 PUSH 00000040H
020EA4CE: 685B000000 PUSH 0000005BH
020EA4D3: 689AA40E02 PUSH 020EA49AH
020EA4D8: FFD0 CALL EAX
020EA4DA: 8BCC MOV ECX, ESP
020EA4DC: 51 PUSH ECX
020EA4DD: 6A40 PUSH 00000040H
020EA4DF: 6819000000 PUSH 00000019H
020EA4E4: 682A741207 PUSH 0712742AH
020EA4E9: 8BC3 MOV EAX, EBX
020EA4EB: FFD0 CALL EAX
020EA4ED: 83C404 ADD ESP, 00000004H
020EA4F0: E935CF0305 JMP 0712742AH
....
....
....
0712742A: 90 NOP
0712742B: BE5F741207 MOV ESI, 0712745FH
07127430: BF9AA40E02 MOV EDI, 020EA49AH
07127435: B95B000000 MOV ECX, 0000005BH
0712743A: F3A4 REP MOVSB
0712743C: 9D POPFD
0712743D: 61 POPAD
0712743E: E95730FCFA JMP 020EA49AH
基本上我关键程式码已经找到, 但是不敢直接使用其他工具来解壳, 怕会有东西没处理好
想使用专用脱壳机是最好的...
但用PEiD没办法查出来是哪种壳, 想请问一下是否有高手看一下就知道这是哪家的壳
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 123.195.0.144
1F：推 chrisdar:如果OEP找到就直接DUMP记忆体即可? 123.195.88.23 02/19 10:02
2F：推 Chevelle:peid 都认不得 应该脱壳机更难找吧 140.112.5.10 02/19 17:58
3F：→ Chevelle:看起来应该不难处理吧 140.112.5.10 02/19 17:58
4F：→ Chevelle:这程式看起来完全是稀松平常.. 140.112.5.10 02/19 17:59
5F：→ WPC001:目前我用OllyDBG Dump出来的结果, 不太正确 123.195.0.144 02/19 21:32
6F：→ WPC001:看起来壳应该是长这样没错, 但就是不太正常 123.195.0.144 02/19 21:33
7F：→ jackace:把712745Fh的code贴上来吧 这根本不算壳 140.113.5.67 02/19 21:40
8F：→ WPC001:jackace大...我稍後整理一下再把接下来po初 123.195.0.144 02/19 22:49
9F：推 zha0:UPX 啦，看就知道了 XD 210.68.29.69 02/21 01:42
10F：→ zha0:好像有点差 , 不是很正规 , 用 ESP 定律解 210.68.29.69 02/21 01:43
11F：推 zha0:我我我看太快了，鸣 ... 我可以改第一句吗 XD 210.68.29.69 02/21 02:00
12F：→ WPC001:有大大能帮忙dump出来吗? 私下请你吃顿饭 123.195.0.144 02/21 09:27