关于pe-scan v3.0x的壳研究

关于pe-scan v3.0x的壳研究

今天下载了最新版pe-scan v3.03版,感觉功能是强了不少,但是英文版的毕竟看了不爽,于是又想自己动手汉化了,要汉化就要先脱壳,但相信pe-scan的作者对壳的研究是很深的,所以写了这篇文章,如果有什么错误还请大家指正.

先看看它加了什么壳,用Fi,显示UPX + cryptor (⺁E);用PEiD,显示ASPack 2.1 -> Alexey Solodovnikov;用pe-scan自己,它也说是aspack2.1.

既然两个都说是aspack,用脱aspack的方法试试,用caspr,无效,用AspackDie 1.3g ,还是无效(竟然没有导入表),于是用自己写的UPX(S)通用脱壳脚本脱,还是无效,看来只有好好研究一下了.

用TRW载入,看上去真像ASPACK,也像UPXPR,个人感觉像Aspack多一点,莫非是变形壳?

0187:00496002 E872050000 CALL 00496579 //载入后停在这里

0187:00496007 EB33 JMP SHORT 0049603C

0187:00496009 87DB XCHG EBX,EBX

0187:0049600B 90 NOP

0187:0049600C 0000 ADD [EAX],AL

0187:0049600E 0000 ADD [EAX],AL

0187:00496010 0000 ADD [EAX],AL

...

bpx getprocaddress

pmodule

...

就来到这里

0187:0049343A 09C0 OR EAX,EAX //停在这里

0187:0049343C 7407 JZ 00493445

0187:0049343E 8903 MOV [EBX],EAX

0187:00493440 83C304 ADD EBX,BYTE +04

0187:00493443 EBD8 JMP SHORT 0049341D

0187:00493445 FF966C380900 CALL NEAR [ESI+0009386C]

0187:0049344B 61 POPA

0187:0049344C E98B90F7FF JMP 0040C4DC //这里就跳OEP了,下面都是ADD ... 要是有手工脱UPXS的经验就会发现它们真的很像.而aspack在这里应该是个ret

...

到了OEP,直接makepe,运行脱壳的程序

居然出错了?

"Windows无法运行该程序,因为它的格式无效."

于是打开程序的导入表,删除里面错误余的项,运行程序,这次其他都正常了,但是点击"关于"按钮,就非法操作,我倒~~~~~~,怎么和脱ASPR一样啊!.无奈下用freeres载入pe-scan重建资源,这次搞定了,但是重建资源后的pe-scan只有90多K,用makepe出来的却有600多k,我当然要探究竟了,原来,freeres只是释放了菜单和对话框这类的资源,pe-scan本身带有一个数据库,freeres并没有释放这个,但是makepe出来的文件却释放过了,所以makepe出来的程序很大.

就汉化来说用freeres释放资源后目的已经达到了,但是就脱壳来说还不行,于是继续努力.

先上网转转看看是否有高手搞定这个壳了,于是看到pe-scan3.00汉化版,是汉化新世纪的作品,真是感到很惊讶的,下载下来看,才知道这个汉化的脱壳是用UG2001的工具脱的,看来这篇文章还是有必要继续写下去了.

还是继续研究它的壳吧,于是换一种方式来脱

还是同样的OEP,试试pedump,哈哈,居然成功了,运行也没有错误了,哈哈,真想不到!真的是很简单啊!

其实在pe-scan里有两个地方可以直接pedump的(两个OEP?),一个是0040C4DC,还有一个是004932F2,大家都可以试试.

后记:不知道为什么在trw里,用makepe搞不定,用pedump却可以呢?谁可以告诉我,莫非是trw自作聪明偏要给原来的程序添加一个Section造成的.所以以后如果makepe不行,别忘了试试pedump啊,说不定还有奇效.其实pe-scan加了2层壳,第一层是比较像aspack但不是,因为他没有压缩功能,另外一层就是UPX Protector 1.0x了(当脱掉第一层的时候,文件大小反而小了,由46k变为41k),再脱UPX Protector 1.0x的壳文件就只有591k了,上面介绍的只是一个比较简单的方法,并没有详细研究.

本人才疏学浅,如果有什么疏漏和错误,还请各位高手指正

搞汉化还是太麻烦,各位要是感兴趣的话可以做3.03版的汉化,不要认为3.00和3.03一样,3.03前的3.0x版的shell功能都是无效的,3.03才修正了这个错误. （出处：嬴政天下整理收藏）

相关文章：

·怎样脱用 Aspack2.12 加的壳（适合初学者）

·EZIP1.0脱壳手记

·脱pecompact1.71加的壳

·PEPack1.0脱壳手记

·手动脱壳的教程（由petite v2.2加壳）

·论 彩票快车白金版v90 的脱壳+爆破

·Aspack的壳

·对PECompact.exe v1.34的手动脱壳

·Petite 脱壳“标准”解决方法

·Petite 2.x 脱壳

相关软件：

·NetConch(网络贝壳) 1.1

·甲壳虫进销存 V3.20

·甲壳虫医药版 V3.82

·甲壳虫服装鞋帽版 V3.92

·甲壳虫超市版 V3.70

·花生壳(PeanutHull) V2.0 正式版

·甲壳虫XP插件版 2.0.5

→ 特别推荐

→ 热点TOP10

我为人人《《==》》人人为我

关于我们 |

帮助(？)

| 广告服务 |

版权声明 |

商业合作 |

发展历程 |

加盟我们 |

联系我们

Copyright © 1999-2003

winzheng.com All Rights Reserved.

繁体版:由华琦数码技术提供

Powered

by:MeSky.Net