The025. 初探脱壳，ACProtect V2.0.X壳[简单]
本帖最后由 chuiyan121 于 2022-1-26 22:52 编辑The025. 初探脱壳，ACProtect V2.0.X壳[简单]
关于脱壳的记录，已有大牛教科书式帖文了，我就按照自己的习惯记录下来，如有疑问欢迎交流指正。^_^
1、PEiD查壳，ACProtect V2.0.X -> RiSco * Sign.By.fly *
https://s4.ax1x.com/2022/01/26/7OY3ad.png
2、OD载入，设置异常选项卡如下图。
https://s4.ax1x.com/2022/01/26/7OYKKO.png
最后一次异常法，2次跑飞，重载Shift+F9一次，SE句柄处数据窗口跟随，下内存访问断点。
Shift+F9运行，F2断点，再Shift+F9运行，再F2，再Shift+F9运行到如下地址，删除内存访问断点和两个F2断点。
运行到retn处，Alt+M打开内存映射窗口，在00401000处下F2断点，Shift+F9运行。
程序运行一会后，会直接跳转到OEP。根据OEP判断是VB程序，入口代码被偷窃。
https://s4.ax1x.com/2022/01/26/7OYnxK.png
下面来修复被偷窃的代码：在004012D4行反汇编处双击，修改为push 00404754。
https://s4.ax1x.com/2022/01/26/7OYMrD.png
根据下图右侧VB程序样板，先push，再call上面的最后一个跳转地址（call 004012CE）。
https://s4.ax1x.com/2022/01/26/7OYm26.png
设置新的EIP后，完成修复，可以脱壳了。
https://s4.ax1x.com/2022/01/26/7OYQqe.png
3、LordPE修正镜像大小，完整转存，ImportREC修复。查询无壳，程序正常运行。
https://s4.ax1x.com/2022/01/26/7OY1VH.png
楼主好，请问原文件在哪里下载呢？如果可以的话能否在分享时以附件形式发出来？方便复现，谢谢{:1_893:}
页:
[1]