手动脱壳入门第十八篇 PC Shrinker 0.71

手动脱壳入门第十八篇 PC Shrinker 0.71

【脱文标题】 手动脱壳入门第十八篇 PC Shrinker 0.71

【脱文作者】 weiyi75[Dfcg] 

【作者邮箱】 weiyi75@sohu.com

【作者主页】 Dfcg官方大本营 

【使用工具】 Peid,Ollydbg,ImportREC

【脱壳平台】 Win2K/XP

【软件名称】 Pcshrink.exe

【软件简介】 Phrozen Crew PE Shrinker is an windows 9x/NT executable file compressor, allowing 

compressed executables to run, functionally,the same as always, but occupy a significantly less 

amount of disk space. 

【软件大小】 15 KB 


【加壳方式】 PC Shrinker 0.71 -> Virogen

【保护方式】 PC Shrinker压缩壳

【脱壳声明】 我是一只小菜鸟，偶得一点心得，愿与大家分享：)

-------------------------------------------------------------------------------- 

【脱壳内容】 

这个程序的压缩选项是非常丰富的,从界面中也没有加密选项，无效隐藏OD和设置异常。

先看看它加壳的记事本

本地下载

首先Peid查壳，为PC Shrinker 0.71 -> Virogen，OD载入运行，无任何异常，判断其为压缩壳。

0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //仍然是ESP定律
0040AAFD BD B7710000 MOV EBP,71B7 //这里的ESP为12FFA0
0040AB02 01AD 543A4000 ADD DWORD PTR SS:[EBP+403A54],EBP
0040AB08 FFB5 503A4000 PUSH DWORD PTR SS:[EBP+403A50]
0040AB0E 6A 40 PUSH 40
0040AB10 FF95 883A4000 CALL DWORD PTR SS:[EBP+403A88]
0040AB16 50 PUSH EAX
0040AB17 50 PUSH EAX
0040AB18 2D 7D394000 SUB EAX,NOTEPAD.0040397D
0040AB1D 8985 7E394000 MOV DWORD PTR SS:[EBP+40397E],EAX
0040AB23 5F POP EDI
0040AB24 8DB5 7D394000 LEA ESI,DWORD PTR SS:[EBP+40397D]
0040AB2A B9 FC000000 MOV ECX,0FC
0040AB2F F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
0040AB31 5F POP EDI
0040AB32 FFE7 JMP EDI
..................................................

命令行 dd 12ffa0

下硬件访问-Dword断点。

F9运行

硬件中断。

标签1

★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★

0040AAFB > 9C PUSHFD //记事本外壳入口。
0040AAFC 60 PUSHAD //

解压缩过程，就是我们以前慢慢跟踪的一下循环圈。

00132DC6 61 POPAD //堆栈平衡，完全工整对应。
00132DC7 9D POPFD //这里是出口，我们断在这里。

★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★

00132DC6 61 POPAD
00132DC7 9D POPFD //这里是出口，我们断在这里。转标签1看看
00132DC8 BA CC104000 MOV EDX,4010CC
00132DCD FFE2 JMP EDX //EDX=4010CC,这个是地球人都只道的记事本的OEP

004010CC 55 PUSH EBP //在这里用Loadpe直接脱壳
004010CD 8BEC MOV EBP,ESP
004010CF 83EC 44 SUB ESP,44
004010D2 56 PUSH ESI //我们看到加密表没有破坏,往下看到KERNEL32.GetCommandLineA
004010D3 FF15 E4634000 CALL DWORD PTR DS:[4063E4] ; KERNEL32.GetCommandLineA

[1] [2] 下一页