手脱PECompact2.X的壳

roger

一.查壳

手脱PECompact2.X的壳

二.脱壳1.单步2.ESP定律3.BP VirtualFree　　SHIFT+F9，取消断点
　　ALT+F9(执行到用户代码）
　　查找 push 8000(特征码)
　　运行到这
　　单步跟
4.BP VirtualFree　　两次SHIFT+F9
　　中断后取消断点，Alt+F9返回
　　单步走。
5.　　0040A86D >  B8 74DE4500     mov eax,qqspirit.0045DE74(原因）
　　bp 0045de74（设断点）
　　045DE74    B8 F9CB45F0     mov eax,F045CBF9
　　0045DE79    8D88 9E120010   lea ecx,dword ptr ds:[eax+1000129E]
　　0045DE7F    8941 01         mov dword ptr ds:[ecx+1],eax
　　0045DE82    8B5424 04       mov edx,dword ptr ss:[esp+4]
　　0045DE86    8B52 0C         mov edx,dword ptr ds:[edx+C]
　　0045DE89    C602 E9         mov byte ptr ds:[edx],0E9
　　0045DE8C    83C2 05         add edx,5
　　0045DE8F    2BCA            sub ecx,edx
　　0045DE91    894A FC         mov dword ptr ds:[edx-4],ecx
　　0045DE94    33C0            xor eax,eax
　　0045DE96    C3              retn
　　0045DE97    B8 78563412     mov eax,12345678//下断
6.bp VirtualAlloc  　　SHIFT+F9运行
　　取消断点
　　ALT+F9
　　向下拉，看到JMP。运行到这
7.最后一次异常法　　取消所有异常。
　　2次跑飞。
　　找SE句柄
　　转到SE xxxx处
　　045DE74    B8 F9CB45F0     mov eax,F045CBF9
　　0045DE79    8D88 9E120010   lea ecx,dword ptr ds:[eax+1000129E]
　　0045DE7F    8941 01         mov dword ptr ds:[ecx+1],eax
　　0045DE82    8B5424 04       mov edx,dword ptr ss:[esp+4]
　　0045DE86    8B52 0C         mov edx,dword ptr ds:[edx+C]
　　0045DE89    C602 E9         mov byte ptr ds:[edx],0E9
　　0045DE8C    83C2 05         add edx,5
　　0045DE8F    2BCA            sub ecx,edx
　　0045DE91    894A FC         mov dword ptr ds:[edx-4],ecx
　　0045DE94    33C0            xor eax,eax
　　0045DE96    C3              retn
　　0045DE97    B8 78563412     mov eax,12345678//下断
8.两次内存9.at GetVersion(c++）　　

---