用dnspy去除PECompact 2.x -> Jeremy Collake [Overlay]

byh3025 · 发表于 2023-3-6 14:29

PECompact 2.x-> Jeremy Collake [Overlay] 顽固强壳-吾爱汇编论坛-防破解,反调试,反汇编,软件安全,逆向分析-52hb.com
https://www.52hb.com/thread-58109-1-1.html
先载入OD并运行，点E，发现调用了系统NET模块

既然是NET的，我们就用dnspy，大部分的壳都可以直接dump出来的，打开dnspy,选择附加
QQ截图20230306135745.png

然后找到刚才打开的程序进程，点附加
QQ截图20230306140525.png

很明显，这个unknown就是，其它的都是系统模块
QQ截图20230306140657.png

在这个模块上右键，选择保存模块，在保存选项里选择保存路径，随便写个文件名都行
QQ截图20230306140949.png

测试下能正常打开，查壳已显示无壳了，说明已去除了PECompact 的保护，载入dnspy也能正常显示代码，至此，dump工作结束
QQ截图20230306141045.png

当然，也可以使用工具dump，这里只是分享一种思路

学编程我不配 · 发表于 2023-3-6 14:39

感谢老师！感谢！

shaokui123 · 发表于 2023-3-6 15:31

这也行啊，无视加壳直接提取

lies · 发表于 2023-3-6 15:32

谢谢分享！

ziyoulang168 · 发表于 2023-3-6 15:44

感谢分享，不错的教程

feiyu2005 · 发表于 2023-3-6 18:21

这个方法学到了，感谢分享！

lyl537c · 发表于 2023-3-7 08:50

谢谢分享！！！

一生逍遥 · 发表于 2023-3-25 15:20

楼主威武！！！！！！

心到手到 · 发表于 2023-4-25 09:04

学习了，感谢分享

zwc123xyz · 发表于 2023-4-25 09:58

谢谢分享经验，搞壳确实挺难的

		自动登录	找回密码
密码			立即注册

[NET逆向图文] 用dnspy去除PECompact 2.x -> Jeremy Collake [Overlay]

点评

评分