脱壳-PC Guard(4.06)

来源：互联网发布：python snmpgetbulk 编辑：程序博客网时间：2024/05/20 16:00

前言

PC Guard(4.06)和普通压缩壳脱壳步骤不一样, 单步跟时间长了, OD会报错.
还没等到琢磨哪里像OEP处的代码, OD已经报错了.

记录

查壳

这里写图片描述

ESP定律

这里写图片描述
下硬件访问断点时, 选DWORD或WORD.

F9找OEP

按一下F9, 就会触发一次硬件访问断点.
当硬件访问断点触发时, 按F9继续, 直到程序运行起来了.
这时看到的最后一次的硬件访问断点就是OEP附近(1句,2句的偏移)的代码.
有时按F9时, 要好几秒(有10秒么?), 可能和虚拟机内存低有关系吧.
反正等F9再断下来时, 如果程序还没跑起来, 继续F9.

脱壳

等程序跑起来时, OEP在最后的断点上方的一句.
将硬件访问断点去掉, 在OEP上下硬件执行断点.
重新运行程序, F9跑起, 当硬件执行断点触发时, 就到了OEP.
用OllyDump脱壳.

备注

“No more executions left!” error message?

Program protected with demo version of PC Guard software copy protection system can be run for 20 times only.

Just use different Application signature and protect your application again in order to get additional 20 runs.
在虚拟机中运行吧, 如果有这个错误提示, 恢复虚拟机, 在新环境中重新用OD跑壳.

0 0