DLL 文件脱壳
这里需要联系上篇的 手动查找IAT并使用ImportREC重建
例题文件你可以点击此处下载: unpack_dll.zip
因为Dll脱壳需要这一步骤. Dll脱壳的最关键的步骤在于使用LordPE修改其Dll的标志, 用LordPE打开UnpackMe.dll, 然后在特征值那里点击..., 然后取消勾选DLL标志, 保存后, 系统就会将该文件视作一个可执行文件.
我们将UnpackMe.dll后缀名改成UnpackMe.exe, 然后用OD载入.
一般在入口点, 程序都会保存一些信息, 这里就很简单, 只作了一个cmp. 要注意的一点是, 这里的jnz跳转直接就跳到了unpacking过程的末尾. 因此我们需要修改寄存器的z标志来使得跳转失效. 同时在unpacking过程的末尾设下一个断点以避免脱壳完然后直接运行.(程序会断在这个断点上, 但是脱壳已经完成, 代码都很清晰)
Dll脱壳的基本步骤跟exe文件脱壳一样, 而在重建IAT时, 需要照着上篇 手动查找IAT并使用ImportREC重建 所说的那样, 手动找到IAT表并用ImportREC进行重建. 只是要注意, 在脱壳完dump后, 要记得用LordPE把DLL标志恢复过来并将文件后缀名改为.dll.
本页面的全部内容在 CC BY-NC-SA 4.0 协议之条款下提供，附加条款亦可能应用。