| 作者：未知 文章来源：网络收集 点击数： 更新时间：2006-3-29 15:57:58
|
| 关于pe-scan v3.0x的壳研究
今天下载了最新版pe-scan v3.03版,感觉功能是强了不少,但是英文版的毕竟看了不爽,于是又想自己动手汉化了,要汉化就要先脱壳,但相信pe-scan的作者对壳的研究是很深的,所以写了这篇文章,如果有什么错误还请大家指正.
先看看它加了什么壳,用Fi,显示UPX + cryptor (⺁E);用PEiD,显示ASPack 2.1 -> Alexey Solodovnikov;用pe-scan自己,它也说是aspack2.1.
既然两个都说是aspack,用脱aspack的方法试试,用caspr,无效,用AspackDie 1.3g ,还是无效(竟然没有导入表),于是用自己写的UPX(S)通用脱壳脚本脱,还是无效,看来只有好好研究一下了.
用TRW载入,看上去真像ASPACK,也像UPXPR,个人感觉像Aspack多一点,莫非是变形壳?
0187:00496002 E872050000 CALL 00496579 //载入后停在这里
0187:00496007 EB33 JMP SHORT 0049603C
0187:00496009 87DB XCHG EBX,EBX
0187:0049600B 90 NOP
0187:0049600C 0000 ADD [EAX],AL
0187:0049600E 0000 ADD [EAX],AL
0187:00496010 0000 ADD [EAX],AL
...
bpx getprocaddress
pmodule
...
就来到这里
0187:0049343A 09C0 OR EAX,EAX //停在这里
0187:0049343C 7407 JZ 00493445
0187:0049343E 8903 MOV [EBX],EAX
0187:00493440 83C304 ADD EBX,BYTE +04
0187:00493443 EBD8 JMP SHORT 0049341D
0187:00493445 FF966C380900 CALL NEAR [ESI+0009386C]
0187:0049344B 61 &n [1] [2] 下一页
|
用户登录 
新用户注册 
网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）