1. 全栈程序员必看首页

UPX脱壳总结

全栈程序员-站长 • • 未分类 • 阅读 29

UPX脱壳总结我近期研究了一下UPX壳的脱壳方法，下面给出脱壳示例：UPX作为一款元老级PE加密壳，在以前的那个年代盛行，著名病毒【熊猫烧香】就是使用这款加密壳。现在我们一起来脱UPX壳来揭开它的神秘面纱。首先，PEiD载入含UPX壳的程序，结果如下：UPX0.89.6-1.02/1.05-1.24->Markus&Laszlo然后用OD载入，OEP如下：

大家好，又见面了，我是你们的朋友全栈君。

我近期研究了一下UPX壳的脱壳方法，下面给出脱壳示例：

UPX作为一款元老级PE加密壳，在以前的那个年代盛行，著名病毒【熊猫烧香】就是使用这款加密壳。
现在我们一起来脱UPX壳来揭开它的神秘面纱。
首先，PEiD载入含UPX壳的程序，结果如下：

UPX脱壳总结

UPX脱壳总结

UPX 0.89.6 – 1.02 / 1.05 – 1.24 -> Markus & Laszlo

然后用OD载入，OEP如下：

UPX脱壳总结

0040E8C0 >  60              PUSHAD
0040E8C1    BE 15B04000     MOV ESI,UPX.0040B015
0040E8C6    8DBE EB5FFFFF   LEA EDI,DWORD PTR DS:[ESI+FFFF5FEB]
0040E8CC    57              PUSH EDI
0040E8CD    83CD FF         OR EBP,FFFFFFFF
0040E8D0    EB 10           JMP SHORT UPX.0040E8E2
0040E8D2    90              NOP
0040E8D3    90              NOP
0040E8D4    90              NOP
0040E8D5    90              NOP
0040E8D6    90              NOP
0040E8D7    90              NOP

然后单步跟踪……直到大跳转：

UPX脱壳总结UPX脱壳总结

UPX脱壳总结

0040EA0F  – E9 B826FFFF     JMP UPX.004010CC
0040EA14    0000            ADD BYTE PTR DS:[EAX],AL
0040EA16    0000            ADD BYTE PTR DS:[EAX],AL
0040EA18    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1A    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1C    0000            ADD BYTE PTR DS:[EAX],AL
0040EA1E    0000            ADD BYTE PTR DS:[EAX],AL
0040EA20    0000            ADD BYTE PTR DS:[EAX],AL

跟踪到这里，发现后面均为填充位，于是跟进跳转：

004010CC    55              PUSH EBP
004010CD    8BEC            MOV EBP,ESP
004010CF    83EC 44         SUB ESP,44
004010D2    56              PUSH ESI
004010D3    FF15 E4634000   CALL DWORD PTR DS:[4063E4]               ; kernel32.GetCommandLineA
004010D9    8BF0            MOV ESI,EAX
004010DB    8A00            MOV AL,BYTE PTR DS:[EAX]
004010DD    3C 22           CMP AL,22
004010DF    75 1B           JNZ SHORT UPX.004010FC
004010E1    56              PUSH ESI
004010E2    FF15 F4644000   CALL DWORD PTR DS:[4064F4]               ; USER32.CharNextA
004010E8    8BF0            MOV ESI,EAX
004010EA    8A00            MOV AL,BYTE PTR DS:[EAX]

发现熟悉的Win32API了，程序入口就在这里了。

果断使用OllyDump，

UPX脱壳总结

EIP作为OEP，脱壳，

UPX脱壳总结

将新PE程序保存为aaa.exe，

UPX脱壳总结

然后运行aaa.exe，

UPX脱壳总结

结果与脱壳前一样，脱壳成功！

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/157945.html原文链接：https://javaforall.net

赞 (0)
0 0

关于作者

全栈程序员-站长的头像

全栈程序员-站长

133.5K 文章
3 粉丝
本网站汇聚当前互联网主流语音，持续更新，欢迎关注公众号“全栈程序员社区”
上一篇 2022年7月12日 下午3:46
下一篇 2022年7月12日 下午3:46


相关推荐

  • [转载]虚拟家庭存档文件修改方法

    [转载]虚拟家庭存档文件修改方法

    [转载]虚拟家庭存档文件修改方法本文最早发于幻想论坛 以下是帖子内容 刚刚摸索出来的一些修改方法 发上来共享下 抛砖引玉 修改存档文件时 一定要先关闭游戏 目前可以修改的数据包括 人物的绝大多数属性 物品栏 商店 VariedItem 栏物品 存档文件在目录 我的文档 LDWVirtualFa 下面 游戏里第一个 profile 的存档文件名就是 VirtualFamil ldw 以此类推 用一款 16 进

    全栈程序员-站长的头像 全栈程序员-站长
    2026年3月18日
    2
  • 如何在Mac上恢复已删除或丢失的分区「建议收藏」

    如何在Mac上恢复已删除或丢失的分区「建议收藏」

    如何在Mac上恢复已删除或丢失的分区「建议收藏」数据丢失了怎么办？如何在Mac上恢复已删除或丢失的分区呢？别急，今天小编给大家整理了使用DiskDril数据恢复工具在Mac上恢复已删除或丢失的分区的教程，还在等什么，快来跟小编看看吧！[dl]15-1501[/dl]1.为Mac安装DiskDrill下载了DiskDrill分区恢复软件，您就可以直接从您的应用程序菜单将其添加到Dock中。这将让您在需要恢复分区或更改设置时快速启动DiskDrill。2.连接外置驱动如果您要从外部驱动器（USB驱动器、智能卡等）

    全栈程序员-站长的头像 全栈程序员-站长
    2022年8月11日
    54
  • linux修改文件名称 rename_shell重命名文件指令

    linux修改文件名称 rename_shell重命名文件指令

    linux修改文件名称 rename_shell重命名文件指令Linux命令中的rename命令主要用于给文件重命名，与mv命令有些类似，但rename可以对批量文件进行重命名，而mv命令则只能对单个文件重命名，下面就给大家详细介绍下Linuxrename命令的使用方法吧。Linux的rename命令有两个版本，一个是C语言版本的，一个是Perl语言版本的，早期的Linux发行版基本上使用的是C语言版本的，现在已经很难见到C语言版本的了，由于历史原因，…

    全栈程序员-站长的头像 全栈程序员-站长
    2025年9月12日
    8
  • Omdia发布《2025全球企业级MaaS市场分析》，火山引擎名列全球第三 豆包

    Omdia发布《2025全球企业级MaaS市场分析》，火山引擎名列全球第三

    Omdia发布《2025全球企业级MaaS市场分析》，火山引擎名列全球第三

    全栈程序员-站长的头像 全栈程序员-站长
    2026年3月12日
    3
  • linux文件属性644到755,linux系统文件夹数字权限设置详解644、755、777

    linux文件属性644到755,linux系统文件夹数字权限设置详解644、755、777

    linux文件属性644到755,linux系统文件夹数字权限设置详解644、755、777linux系统文件夹数字权限设置详解644、755、777，左至右，第一位数字代表文件所有者的权限，第二位数字代表同组用户的权限，第三位数字代表其他用户的权限。而具体的权限是由数字来表示的，读取的权限等于4，用r表示；写入的权限等于2，用w表示；执行的权限等于1，用x表示；通过4、2、1的组合，得到以下几种权限：0(没有权限)；4(读取权限)；5(4+1|读取+执行)；6(4+2|读取+…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年6月18日
    45
  • Java的invoke方法[通俗易懂]

    Java的invoke方法[通俗易懂]

    Java的invoke方法[通俗易懂]如果读一些Java或者相关框架的源码，实际上一定会经常出现invoke方法的调用，在自己或者团队封装框架时，如果有时候弄得不好经常也会报invoke相关的错。invoke方法是干什么的？有什么具体用途？首先要了解invoke方法干什么的以及具体用途，实际你要搞清他在源码那个class文件上，他在那个包里，追根溯源。invoke方法来自Method类，可能不会像我们经常用到的基础类型包装类，以及集合类还有他们的扩展和工具类使用的那么多。但是Method类所在的包可是大名鼎鼎的反射Reflact,不是有

    全栈程序员-站长的头像 全栈程序员-站长
    2022年6月7日
    33

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号