首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
关于 EncryptPE 2005.9.10脱壳脚本 的运行
发表于: 2005-10-25 12:19 5679

关于 EncryptPE 2005.9.10脱壳脚本 的运行

emir 活跃值
2005-10-25 12:19
5679
本人是新来的菜鸟

感觉大家在研究netsowell的脚本时都很自私,有问题才问netsowell或fly等高手,也不共享一下研究的过程,这样大家只能瞎试,学不到东西

现在我发布我研究的过程:

1.准备工作:

用到工具 flyODBG (包括了OllyMachine,OllyDump等插件),netsowell的脚本存成EncryptPE.txt
对象EncryptPE.exe (V2.2005.9.10)

2.运行脚本,脱壳

用flyODBG打开EncryptPE.exe,打开任务栏管理器结束explorer.exe进程(注:结束后不要任务栏管理器),F9运行EncryptPE.exe,这时你可能暂停在 int 1 中断,也可能鼠标点不了菜单了,不用慌,试着用快捷键SHIFT+F9一直运行下去,或Alt+W想办法让菜单响应,直到菜单响应,能重新打开EncryptPE.exe为止;(这就是下面要运行脚本时,出现程序不响应的一些解决办法)

而想运行脚本成功不死机,是要中途不出现中断和意外的,所以我们重来,用flyODBG打开EncryptPE.exe, Alt+O打开调试选项,钩上"同时忽略以下指定...范围"中的 00000001 .. FEEDFADE ,这样就能在运行过程中跳过int 1中断

开始运行脚本了(注:还是在结束explorer.exe进程,刚打开EncryptPE.exe环境下),打开插件中的OllyMachine, 1. Run 运行脚本EncryptPE.txt;这时脚本应该可以顺利运行了...不过有时还会出现运行完脚本菜单不响应的情况,用上面说的方法多试几次;

成功运行脚本,最后内存暂停在

711E5CC9  33C0  xor eax,eax  ; V2200591.71201721

这时就可以Dump了,本人不知道netsowell用的什么Dump脱壳,只能先用OllyDump插件了,OEP这时应该也没有找到正确的(知道OEP的高手,应该出来说明一下);用OllyDump脱壳,先不选"重建输入表",保存脱壳EXE.

3.重建输入表IAT(我不会,只是过程参考)

前面不关闭任务栏管理器的作用就是,可以通过任务栏管理器新建任务打开我们想用的软件,打开ImportREC,这时因为结束了explorer.exe进程,EncryptPE.exe进程就隐藏不了啦,再Pick Dll选V22005910.EPE, IAT AutoSearch,(因为我不太明白修复IAT的过程,用的时候很容易就死机了,望高手们赐教),Get Imaports,Auto Trace(长时间没有响应),失败......

4.大家看到我说错的地方,不要笑我,希望大家都把自己研究的成果发布出来,团结就是力量,这也是开论坛的初衷.

[培训]科锐逆向工程师培训第53期2025年7月8日开班！

收藏
免费 ・0
支持
分享
最新回复 (11)
emir
雪    币： 202
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
invoke msg, "哈哈!现在我要开始运行啦，保存好当前工作，有可能要关闭explorer.exe哦!"
invoke BPHWS, 0x711E3FF6, 1
invoke ESTO
invoke BPHWC 0x711E3FF6
invoke WriteMemHexes, 0x711E3FF6, "EB"
invoke WriteMemHexes, 0x711E5958, "9090"
invoke BPHWS, 0x711E596D, 1
invoke ESTO
invoke BPHWC 0x711E596D
invoke WriteMemHexes, 0x711E3FF6, "74"
invoke WriteMemHexes, 0x711E5958, "7513"
invoke WriteMemHexes, 0x711E5976, "9090"
invoke WriteMemHexes, 0x711E5981, "EB"
invoke BPHWS, 0x711E5AED, 1
invoke ESTO
invoke BPHWC 0x711E5AED
invoke WriteMemHexes, 0x711E5AED, "9090909090909090909090"
invoke WriteMemHexes, 0x711E5B20, "9090"
invoke WriteMemHexes, 0x711E5B2C, "9090909090909090909090"
invoke WriteMemHexes, 0x711E5B5E, "9090"
invoke WriteMemHexes, 0x711E5C38, "13"
invoke WriteMemHexes, 0x711E5C4A, "13"
invoke WriteMemHexes, 0x711E5C51, "909090909090"
invoke WriteMemHexes, 0x711E5C63, "9090909090"
invoke WriteMemHexes, 0x711E5C8D, "9090"
invoke WriteMemHexes, 0x711E5CBD, "9090"
invoke WriteMemHexes, 0x711DB93D, "E9FC9E0200"
invoke WriteMemHexes, 0x7120583E,

"895C82FC8BC35B66813B90E8750D66C703FF158B55FC895302EB15803B897410803B8B740B66C703FF258B55FC895302C3"
invoke BPHWS, 0x711E5CC9, 1
invoke ESTO
invoke BPHWC 0x711E5CC9
2005-10-25 13:06
0
laomms
雪    币： 560
活跃值： (379)
能力值： ( LV13，RANK：1370 )
在线值：
发帖
回帖
粉丝
私信
3 楼
oep:c7bb0
rva:000CC164  00001000

DUMP用LOADPE纠正IMAGE后FULL DUMP,
IMPORTREC中无效指针可能要手动修复.
另外看不到进程可以用IceSword解决,运行软件后停止进程一次,第二次就可以看到进程,我就知道这些.
2005-10-25 16:58
0
Dracula
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
没成功..有没有手脱的办法?
2005-10-25 19:07
0
xxyygg
雪    币： 242
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
没法,中国的高人看来都这样!
'
还是那个老外,来得透彻! 象当年的二哥的文章,估计现在很少看到了! 自己慢摸索吧!

等你研究成了高人的时候多给大家,那时候中国的软件就大发展了!
2005-10-29 11:48
0
fly
雪    币： 898
活跃值： (4054)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
6 楼
EncryptPE 自 V2.2004.8.10 来一直变化不大
论坛里面不是没有教程，为何揪住一个脚本不放？

记住一句话：你想获得多少，先看你付出了多少
2005-10-29 12:28
0
采臣·宁
雪    币： 275
活跃值： (466)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
不要不知足，咱学的那会儿，只有台湾小虫子的78787878教程。不比现在的学习条件，有论坛可发贴灌水，还有好心人将学习心得贴上。
2005-10-29 14:43
0
lihua
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
谢谢！！！
2005-11-5 16:38
0
萧洒
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
厉害厉害厉害
2005-11-5 16:41
0
xujipi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
学习学习...新手也试试
2005-11-6 09:48
0
lihua
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
脱出后的修复，请细讲！！！
2005-11-10 20:20
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
程序在 711E596D 就运行了是不是 权限没有设置正确啊 !
2005-11-11 11:16
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回