The025. 初探脱壳，ACProtect V2.0.X壳[简单]

chuiyan121

The025. 初探脱壳，ACProtect V2.0.X壳[简单]
关于脱壳的记录，已有大牛教科书式帖文了，我就按照自己的习惯记录下来，如有疑问欢迎交流指正。^_^

1、PEiD查壳，ACProtect V2.0.X -> RiSco * Sign.By.fly *


2、OD载入，设置异常选项卡如下图。


最后一次异常法，2次跑飞，重载Shift+F9一次，SE句柄处数据窗口跟随，下内存访问断点。
Shift+F9运行，F2断点，再Shift+F9运行，再F2，再Shift+F9运行到如下地址，删除内存访问断点和两个F2断点。
运行到retn处，Alt+M打开内存映射窗口，在00401000处下F2断点，Shift+F9运行。
程序运行一会后，会直接跳转到OEP。根据OEP判断是VB程序，入口代码被偷窃。


下面来修复被偷窃的代码：在004012D4行反汇编处双击，修改为push 00404754。


根据下图右侧VB程序样板，先push，再call上面的最后一个跳转地址（call 004012CE）。


设置新的EIP后，完成修复，可以脱壳了。


3、LordPE修正镜像大小，完整转存，ImportREC修复。查询无壳，程序正常运行。

完美人設

楼主好，请问原文件在哪里下载呢？如果可以的话能否在分享时以附件形式发出来？方便复现，谢谢