od破解软件底子教程

3209644627

游客，如果您要查看本帖隐藏内容请回复

上面是资源


一、概论
  
  壳出于步伐作者想对步伐资源压缩、注册掩护的目标，把壳分为压缩壳和加密壳两种
  
  顾名思义，压缩壳只是为了减小步伐体积对资源举行压缩，加密壳是步伐输入表等等举行加密掩护。固然加密壳的掩护本领要强得多！
  
  二、常见脱壳方法
   
   预备知识
  
  1.PUSHAD （压栈） 代表步伐的入口点,
  2.POPAD （出栈） 代表步伐的出口点，与PUSHAD想对应，一样平常找到这个OEP就在附近
  3.OEP：步伐的入口点，软件加壳就是埋伏了OEP（大概用了假的OEP/FOEP），只要我们找到步伐真正的OEP，就可以立即脱壳。
  
  方法一：单步跟踪法
  1.用OD载入，点“不分析代码！”
  2.单步向下跟踪F8，实现向下的跳。也就是说向上的跳不让着实现！（通过F4）
  3.碰到步伐往回跳的（包罗循环），我们在下一句代码处按F4（大概右健单击代码，选择断点——>运行到所选）
  4.绿色线条表现跳转没实现，不消剖析，赤色线条表现跳转已经实现！
  5.如果刚载入步伐，在附近就有一个CALL的，我们就F7跟进去，否则步伐很轻易跑飞，如许很快就能到步伐的OEP
  6.在跟踪的时间，如果运行到某个CALL步伐就运行的，就在这个CALL中F7进入
  7.一样平常有很大的跳转（大跨段），比如 jmp XXXXXX 大概 JE XXXXXX 大概有RETN的一样平常很快就会到步伐的OEP。
  
  Btw:在有些壳无法向下跟踪的时间，我们可以在附近找到没有实现的大跳转，右键-->“跟随”,然后F2下断，Shift+F9运行停在“跟随”的位置，再取消断点，继续F8单步跟踪。一样平常环境下可以轻松到达OEP！
   
  方法二：ESP定律法
  ESP定理脱壳（ESP在OD的寄存器中，我们只要在下令行下ESP的硬件访问断点，就会一下来到步伐的OEP了！）
  1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成赤色）。（这只是一样平常环境下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值）
  2.在下令行下：dd XXXXXXXX(指在当前代码中的ESP所在，大概是hr XXXXXXXX)，按回车！
  3.选中下断的所在，断点--->硬件访--->WORD断点。
  4.按一下F9运行步伐，直接来到了跳转处，按下F8，到达步伐OEP。
  
  方法三：内存镜像法
  1：用OD打开软件！
  2：点击选项——调试选项——非常，把内里的忽略全部√上！CTRL+F2重载下步伐！
  3：按ALT+M,打开内存镜象，找到步伐的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点，接着再按ALT+M,打开内存镜象，找到步伐的第一个.rsrc.上面的.CODE（也就是00401000处），按F2下断点！然后按SHIFT+F9（大概是在没非常环境下按F9），直接到达步伐OEP！
  
  
  方法四：一步到达OEP
  1.开始按Ctrl+F,输入：popad（只恰当少数壳，包罗UPX，ASPACK壳），然后按下F2，F9运行到此处
  2.来到大跳转处，点下F8，到达OEP！
  
  方法五：末了一次非常法
  1：用OD打开软件
  2：点击选项——调试选项——非常，把内里的√全部去掉！CTRL+F2重载下步伐
  3：一开始步伐就是一个跳转，在这里我们按SHIFT+F9，直到步伐运行，记下从开始按SHIFT+F9到步伐运行的次数m！
  4：CTRL+F2重载步伐，按SHIFT+F9（这次按的次数为步伐运行的次数m-1次）
  5：在OD的右下角我们瞥见有一个"SE 句柄"，这时我们按CTRL+G，输入SE 句柄前的所在！
  6：按F2下断点！然后按SHIFT+F9来到断点处！
  7：去掉断点，按F8渐渐向下走！
  8：到达步伐的OEP！
  
  比如说第一次是按10下SHIFT+F9..然后步伐就跑起来了..
  
  接着呢..我们从载入步伐然后按9下SHIFT+F9
  
  各人都知道按10下步伐就跑起来了..以是说9下步伐是不大概跑的..
  
  
  
  
  方法六：模仿跟踪法
  1：先试运行，跟踪一下步伐，看有没有SEH暗桩之类
  2：ALT+M打开内存镜像，找到（包罗=SFX,imports,relocations）
  
  内存镜像，项目 30
  所在=0054B000
  巨细=00002000 (8192.)
  Owner=check    00400000
  区段=.aspack
  包罗=SFX,imports,relocations
  范例=Imag 01001002
  访问=R
  初始访问=RWE
   
  3：所在为0054B000，如是我们在下令行输入tc eip<0054B000,回车，正在跟踪ing。。
  
  Btw:各人在利用这个方法的时间，要明确他是要在怎么样的环境下才可以利用
  
  方法七：“SFX”法
  1：设置OD，忽略全部非常，也就是说非常选项卡内里都打上勾
  2：切换到SFX选项卡，选择“字节模式跟踪现实入口（速率非常慢）”，确定。
  3：重载步伐（如果跳出是否“压缩代码？”选择“否”，OD直接到达OEP）
  
  
  cmp a,b 比力a与b
  mov a,b 把b的值送给a
  ret 返回主步伐
  nop 无作用,英文“no operation”的简写，意思是“do nothing”(呆板码90)***呆板码的寄义参看上面
  (表明:ultraedit打开编辑exe文件时你看到90,等同于汇编语句nop)
  call 调用子步伐
  je 或jz 若相当则跳(呆板码74 或0F84)
  jne或jnz 若不相当则跳(呆板码75或0F85)
  jmp 无条件跳(呆板码EB)
  jb 若小于则跳
  ja 若大于则跳
  jg 若大于则跳
  jge 若大于即是则跳
  jl 若小于则跳
  jle 若小于即是则跳
  pop 出栈
  push 压栈
  
  74=>75 74=>90 74=>EB
  75=>74 75=>90 75=>EB
  jnz->nop
  75->90(相应的呆板码修改)
  jnz -> jmp
  75 -> EB(相应的呆板码修改)
  jnz -> jz
  75->74 (正常) 0F 85 -> 0F 84(特殊环境下,偶然,相应的呆板码修改)
  
  一条（跳）就死，九筒（90）就胡   (对应上面的2.修改为nop）
  一条（跳）就胡，一饼（EB）奉养   (对应上面的1.修改为jmp）
  妻死（74）便妻无（75）
  爸死（84）便爸无（85）

纱良奥特

没看完~~~~~~ 先顶，好同志

墨鱼飞池

谢谢楼主，共同发展

神秘的隐者

真是 收益 匪浅

东方快递

学习了，谢谢分享、、、

国寿保险策划员

前排支持下分享

说好会幸福

好好 学习了 确实不错

我的家园

难得一见的好帖

吻你一生

LZ说的很不错

东北远方的家

好帖，来顶下