怎样脱pklite32， Shrinker 3.4 和 NeoLite加的壳

脱壳----对用pklite32加壳的程序进行手动脱壳

目标文件： pklite32w.exe

加壳方式： pklite32

所用工具： trw2000 v1.22

作者： iis / 属于梦醒时分[http://hacking.wofly.com]

1.用trw2000的Loader加载加壳程序。

2.按一下f10,将停在下面的地方，

0167:00607005 PUSH DWORD 00627F84 《——停在这里,一直按f10

0167:0060700A PUSH DWORD 00

0167:0060700F CALL 00627F84

0167:00607014 JMP 004117B0 《——执行完这个指令，执行命令makepe 文件名

0167:00607019 INC EAX

0167:0060701A SUB [EBX],AH

3.脱壳成功。

脱壳----对用Shrinker 3.4加壳的程序进行手动脱壳

加壳方式： Shrinker 3.4

所用工具： trw2000 v1.22

作者： iis / 属于梦醒时分[http://hacking.wofly.com]

1.用trw2000的Loader加载加壳程序。

2.按一下f10,将停在下面的地方，

0167:004365AF PUSH EBP 《——停在这里

0167:004365B0 MOV EBP,ESP

0167:004365B2 PUSH ESI

0167:004365B3 PUSH EDI

0167:004365B4 JNZ 00436621

0167:004365B6 PUSH DWORD 0100

0167:004365BB CALL 004370D1

3.一直按f10,

0167:00436619 CALL `KERNEL32!GetModuleFileNameA`

0167:0043661F JMP SHORT 00436624

0167:00436621 MOV ESI,[EBP+08]

0167:00436624 CALL 00435000

0167:00436629 PUSH DWORD [EBP+10]

0167:0043662C PUSH DWORD [EBP+0C]

0167:0043662F PUSH ESI

0167:00436630 CALL 0043663B 《——按f8进入

0167:00436635 POP EDI

0167:00436636 POP ESI

0167:00436637 POP EBP

0167:00436638 RET 0C

4.再按f10到达下面的地方，

0167:0043667C INC DWORD [004311C0]

0167:00436682 CALL 00435CB2 《——此处将弹出一个消息框，按‘是‘将返回tr

w2000.

0167:00436687 MOV ESI,[004311C0]

0167:0043668D TEST ESI,ESI

0167:0043668F JZ 004366FF

0167:00436691 CMP DWORD [004311C4],BYTE +00

0167:00436698 JNZ 004366C0

0167:0043669A CMP DWORD [00433774],BYTE +00

0167:004366A1 JZ 004366C0

0167:004366A3 MOV EAX,[00433774]

0167:004366A8 ADD EAX,[00433898]

0167:004366AE MOV [EBP-20],EAX

0167:004366B1 PUSH DWORD [EBP+10]

0167:004366B4 PUSH DWORD [EBP+0C]

0167:004366B7 PUSH DWORD [EBP+08]

0167:004366BA CALL NEAR [EBP-20] 《——按f8进入后，执行命令makepe 文件名

0167:004366BD MOV [EBP-1C],EAX

5.脱壳成功。

脱壳----对用NeoLite加壳的程序进行手动脱壳

目标文件： NeoLite（2.0）.exe

加壳方式： NeoLite

所用工具： trw2000 v1.22

作者： iis / 属于梦醒时分[http://hacking.wofly.com]

1.用trw2000的Loader加载加壳程序。

2.将停在下面的地方，

0167:0041C1A8 JMP 0041C253 《——停在这里

0167:0041C1AD MOV EAX,A80041DA

0167:0041C1B2 ROL BYTE [ECX+00],AC

0167:0041C1B6 ROL BYTE [ECX+00],00

0167:0041C1BA ADD [EAX],AL

0167:0041C1BC ADD [EAX+6A00004A],BH

0167:0041C1C2 RET 41

3.一直按f10,

0167:0041C262 INC BYTE [0041C252]

0167:0041C268 JMP EAX 《——跳到真正的入口点

0167:0041C26A CMP BYTE [0041C252],00

0167:0041C271 JNZ 0041C286

4.跳到下面地方，

0167:004073F3 PUSH EBP 《——跳到这，执行命令makepe 文件名

0167:004073F4 MOV EBP,ESP

0167:004073F6 PUSH BYTE -01

0167:004073F8 PUSH DWORD 0040D1A0

0167:004073FD PUSH DWORD 00409A3C

0167:00407402 MOV EAX,[FS:00]

0167:00407408 PUSH EAX

5.脱壳成功。

相关资讯：

·怎样脱用 Aspack2.12 加的壳（适合初学者）

·EZIP1.0脱壳手记

·脱pecompact1.71加的壳

·PEPack1.0脱壳手记

·手动脱壳的教程（由petite v2.2加壳）

·论 彩票快车白金版v90 的脱壳+爆破

·Aspack的壳

·对PECompact.exe v1.34的手动脱壳

·Petite 脱壳“标准”解决方法

·Petite 2.x 脱壳

相关软件：

→ 特别推荐

→ 热点TOP10

我为人人《《==》》人人为我

关于我们 |

帮助(？)|

广告服务 |

版权声明 |

商业合作 |

发展历程 |

加盟我们 |

联系我们

Copyright (C) 1998-2004 winzheng.com All Rights Reserved.

特别感谢 蓝芒科技 提供下载站及论坛服务器