1. 下载ASPack2.12 , 压缩一Notepad.exe
2. 用od1.1载入加壳后的notepad, 调试选项->事件->主模块入口
3. 使用esp平衡法, 载入后esp指向7ffc4, 命令行里输入hw 7ffc0(注: 加密与解密一书中用的是7ffc4)
4. F9后触发中断, esp为7ffc0, 里面的值就是oep, 100739d
5, 在代码区Ctrl+G, 输入100739d, 然后在100739d处F2
6, 再次F9后, 代码停在100739d, 调用ollyDump, 然后确定即可.
7, dump出的文件不用修改即可运行, 比原始文件要大, 同时用ida也匹配不上符号了, 不过看了一下函数地址都是对的,
import表也是对的.
posted on 2009-09-01 11:59
wangkang 阅读(288)
评论(0) 编辑 收藏 引用