通达信主程序脱壳全记录(图文).pdf

通达信主程序脱壳全记录 （图文） UPX 加壳入口第一句是PUSHAD；出口关键字POPAD；手动脱壳时，用Olldbg 载入程序，脱壳程序里面会 有好多循环。对付循环时，只能让程序往前运行，基本不能让它往回跳，要想法跳出循环圈。 第一步，先侦壳，侦壳工具为peid0.92,侦测结果如下：（图000 ） （图000 ） 原来是UPX 0.89.6 - 1.02 / 1.05 - 1.24 - Markus Laszlo 加的壳，UPX 是一种压缩壳，强度很低。 第二步，我们请出调试利器：Ollydbg1.09,载入程序，出现提示： 找到 PUSHAD （压栈）标志点 （图001 ） 1 点击右键菜单，选择“编辑注释”―――“UPX1 壳入口点”（图002 003 ） 2 3 用F8 进行单步跟踪，对付循环时，只能让程序往前运行，基本不能让它往回跳，要想法跳出循环圈那就是设置“断 点”。见上图（图004 005 006 007 ） 在”处有一个往回的跳转，那么就要在其下面的“0098683B ”处设置“断点”―――“运行到选定位 置 F4 ”，然后继续F8 往下走；碰到往下的跳转，那么随它往下走；碰到没有实现的跳转，也不用理睬，继续F8 往 4 下走。（后面碰到类似的情况，处理方法一样。） 一直往下找，直到发现 “POPAD ”时，在其地址处设置“断点”――― “运行到选定位置 F4 ”，然后继续 F8 往下走。（图008 009 ） 特别注意：在据“POPAD ”的地址约10－20 个地址时，要停下来，仔细观测，看有没有“CALL”语句，否则有 可能跑飞掉，找不到刚才所跟踪的这些地址。最好的办法是，发现“POPAD ”后，直接在该语句处设置断点，接着往 5 下走。 在走几行，就会出现上图画面， ” 55 DB55 CHAR ‘U ’ ―――这是通达信主程序代码的真 正入口，也就是我们要找的“OEP”地址。（图010 011 ） 6 点击右键调出菜单，选择“用OllyDump 脱壳调试进程”。（图012 ） （图013 ） 7 出现上图画面，记住“修正为：22838A ”,点击“脱壳”进行存盘。（图013 014 ） ＝＝＝＝＝＝＝＝＝下图为重新载入已脱壳的新文件（图015 ）＝＝＝＝＝＝＝＝＝＝ 8 用“PEID ”检测，提示已无壳。（图016