The025. 初探脱壳，ACProtect V2.0.X壳[简单]

chuiyan121 · 发表于 2022-1-26 22:50

本帖最后由 chuiyan121 于 2022-1-26 22:52 编辑

The025. 初探脱壳，ACProtect V2.0.X壳[简单]
关于脱壳的记录，已有大牛教科书式帖文了，我就按照自己的习惯记录下来，如有疑问欢迎交流指正。^_^

1、PEiD查壳，ACProtect V2.0.X -> RiSco * Sign.By.fly *

2、OD载入，设置异常选项卡如下图。

最后一次异常法，2次跑飞，重载Shift+F9一次，SE句柄处数据窗口跟随，下内存访问断点。
Shift+F9运行，F2断点，再Shift+F9运行，再F2，再Shift+F9运行到如下地址，删除内存访问断点和两个F2断点。
运行到retn处，Alt+M打开内存映射窗口，在00401000处下F2断点，Shift+F9运行。
程序运行一会后，会直接跳转到OEP。根据OEP判断是VB程序，入口代码被偷窃。

下面来修复被偷窃的代码：在004012D4行反汇编处双击，修改为push 00404754。

根据下图右侧VB程序样板，先push，再call上面的最后一个跳转地址（call 004012CE）。

设置新的EIP后，完成修复，可以脱壳了。

3、LordPE修正镜像大小，完整转存，ImportREC修复。查询无壳，程序正常运行。

wanlinwo · 发表于 2022-1-27 08:52

提示: 作者被禁止或删除内容自动屏蔽

完美人設 · 发表于 2022-2-21 20:32

楼主好，请问原文件在哪里下载呢？如果可以的话能否在分享时以附件形式发出来？方便复现，谢谢

帐号		自动登录	找回密码
密码			注册[Register]

wanlinwo wanlinwo 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	wanlinwo 发表于 2022-1-27 08:52 提示: 作者被禁止或删除内容自动屏蔽
	【吾爱破解论坛总版规】 - [让你充分了解吾爱破解论坛行为规则]
	回复支持举报

[讨论] The025. 初探脱壳，ACProtect V2.0.X壳[简单]