套壳程序的释放样本提取

运行环境：
Win7 x64；
涉及工具：
OD 1.10、RAR、PCHunter64；
教程类型：
提取程序；
视频是否带有论坛水印：
是，视频开头前三秒有论坛水印；
是否讲解思路和原理：
否，仅演示简单操作；
是否为悬赏杀手：
是悬赏杀手，https://www.52hb.com/thread-57116-1-1.html

以下为图文内容：

                                               套壳程序的释放样本提取
                                                   boot /52hb.com
                                                     2022.10.06

============
这个样本运行后会：
- 1.自删除本体；
- 2.自删除释放后的程序以及附加的bat文件；

所以，我们需要在程序删除前，将释放后的样本拷贝出来。

============
下断DeleteFileA、DeleteFileW；无论下什么API断点，务必牢记，在堆栈第一行跟随。
在RETN下断，单步，此时停顿了一下，观察到堆栈的可疑字符1.bat、360.exe；

另外。文件夹设置如我所示。

我们用everything尝试搜索这两个文件：

- 1.bat
start /d "C:\" 360.exe
这句命令表示，执行绝对路径下的360.exe文件

- 360.exe

这个是释放后的程序本体，可以看到默认属性是隐藏。

============

用压缩器拷贝释放后的文件。

测试运行，无误；留意到OD调试后可以直接关闭这个程序；如果非调试状态运行，则程序隐藏，无法附加，无法关闭。
简单解决方案是，PCHunter64 强制结束进程即可。

OK!

补充：运行释放后的程序本体，可能会自动更改电脑的主题配置......留意。





教程及课件下载地址：

游客，如果您要查看本帖隐藏内容请回复

感谢分享

谢谢大佬牛逼

支持一下 ！

感谢大佬分享

感谢分享

躺平了躺平了

下载看看，不错的教程

带走试试。。。。。

学习下感谢大佬分享