学习ximo老师课程的学习记录18

xi0405

18、脱ACProtect V2.0.X

第二个程序卡在最后弹框卡的动不了了，研究没研究明白，希望有大佬解答一下

一、环境

XP机

二、案例程序

1

  

1.QQ····.exe（工程1.exe帮助QQ···.exe修复OEP）

2.ACP_Feedback1.exe（最后内存设断CODE弹框出来就卡死）

就是这个弹框卡死

15

三、方法

QQ·····.exe是异常法

ACP_Feedback1.exe是需要设特定的断点，若使用上面的异常法没法脱

四、工具

OD

PEiD

Load PE

Scylla

五、脱壳

1、QQ···.exe

查壳

2

  

OD载入，设置配置

3

  

3

  

3

  

3

  

进行最后一次异常判断

4

  

4

  

和上一节一样的方法，这里就不在叙述直接给图

5

  

5

  

5

  

5

  

5

  

5

  

5

  

5

  

到达OEP，然后需要借助正常的VB程序，帮助修改OEP内容

6

  

6

  

6

  

修改后，如下

7

  

Scylla

8

  

8

  

修复IAT

9

  

9

  

运行结果和查壳

10

  

2.ACP_Feedback1.exe

查壳

11

  

OD插件配置，一定需要，不然无法在Load PE中查看OD进程

12

  

开始脱壳

13

  

记得取消勾选StrongOD中的*Kernel Mod

13

  

查壳OD的PID

14

  

如果第一个是字母的话需要加0，数字的话可加可不加

14

  

14

  

14

  

然后就是这里卡死

16

  

BMZ123654

我是进入OD，直接下断bp GetCurrentProcessId，shift+f9运行，然后下断BP GetModuleHandleA，shift+f9运行，然后取消断点，进入内存，找到401000下断，进入内存下断f9的时候会跑飞，跑飞点个确定就直接跳转oep。用od脱壳后打不开，在用ImpREC 1.7 汉化版进行IAT修复一下就可以直接运行了。

ydafu168

虽然看不懂，但能这么详细，已经非常了不起了，谢谢分享

gwgdaemon

写得很详细，学习了