Расположение OEP в упакованных EXE-файлах - PullRequest
Новая
       50

Расположение OEP в упакованных EXE-файлах

2 голосов
/ 21 марта 2011

Существуют ли общие правила о том, как реально определить местонахождение OEP (Исходные точки входа) для упакованных файлов .exe, пожалуйста?Какие ключи OEP нужно искать на отлаженном ассемблере?

Скажите, что есть файл Windows .exe, упакованный с PC-Guard 5.06.0400 , и я хочу его распаковать.Поэтому ключевым условием является нахождение OEP в только что извлеченном блоке кода.

Я бы использовал общий отладчик OllyDBG , чтобы сделать это.

Ответы [ 3 ]

2 голосов
/ 21 марта 2011

В общем случае - никак. Это сильно зависит от упаковщика. В наиболее распространенном случае упаковщик может заменить некоторый код из OEP другим кодом.

1 голос
/ 21 марта 2011

Это зависит исключительно от упаковщика и алгоритмов, в которых он использует пакет и / или виртуализирует код.Поскольку вы используете ollydbg, я бы посоветовал проверить tuts4you, woodmanns и openrce, у них есть много плагинов (iirc есть один, предназначенный для поиска oep в обфускированном коде, но я понятия не имею, насколько хорошо он работает) и сценарии olly дляИмея дело с распаковкой различных упаковщиков (из которых вы можете получить подсказки для определенного типа упаковщика), у них также есть довольно много статей / учебных пособий по этому вопросу, которые могут или не могут быть полезны.

PC Guard, кажется, не привлекает большого внимания, но ссылка на видео и информация здесь должны помочь (хвала Google кешу!)

0 голосов
/ 12 апреля 2011

Трудно указать на любую простую стратегию и утверждать, что она будет работать в целом, потому что бизнес инструментов упаковщика состоит в том, чтобы OEP нашел очень сложную проблему. Кроме того, с хорошим упаковщиком найти OEP все еще недостаточно. При этом у меня есть некоторые предложения.

Я бы посоветовал вам прочитать эту статью о распаковщике Джастина, они используют эвристические методы, которые были достаточно эффективными в то время, и от которых вы могли бы получить некоторый пробег. По крайней мере, они уменьшат количество возможных точек входа до управляемого числа:

Исследование проблемы упаковщика и ее решения (2008) Фанглу Го, Питер Ферри, Ци Цкер Чиуэ

Есть также несколько страниц веб-анализа, которые могут многое рассказать о вашей упакованной программе. Например, анализатор вредоносных программ по адресу: http://eureka.cyber -ta.org /

Вот еще один, который в настоящее время не работает, но проделал разумную работу в прошлом, и я предполагаю, что скоро снова будет): http://bitblaze.cs.berkeley.edu/renovo.html

...