首先进行查壳，NsPack
将程序拖入x64dbg
程序入口处标志性的push
F8单步，发现仅有esp寄存器有变化
在esp上右键，在内存窗口查看，下硬件断点
F9运行程序，程序断在pop之后。
使用F7单步两次后来到程序入口，oep
使用自带的scylla脱壳
填入正确的OEP，自动查找IAT并且获取导入的库，dump出程序，再进行修复。OEP的位置可以下个断点，方便下一次调试
对脱壳后的程序查壳
脱壳成功
ESP定律脱壳——NsPack3.x脱壳
猜你喜欢
转载自www.cnblogs.com/hongren/p/12633232.html
今日推荐
周排行