手动脱RLPack壳实战--吾爱破解培训第一课选修作业七

作者:Fly2015

吾爱破解论坛培训第一课选修作业练习的第7题。这个壳没听说过，但是脱起来比较简单，根据ESP定律即可直达光明，Dump出原来的程序。

老规矩，首先对需要脱壳的程序进行查壳处理。

使用DIE查壳的结果，程序加的是RLPack壳并且原程序是用微软编译器编译的。

OD载入加壳程序进行调试分析，入口点代码反汇编快照。

看到PUSHAD指令想都不要想，直接ESP定律脱壳。F8单走一步在ESP寄存器上设置硬件写入断点，然后F9运行程序，程序自然断在刚才设置的硬件断点处。

显然JMP指令的跳转地址就是原来程序的OEP地址。F7跟过去，就可以看到熟悉的入口点反汇编代码。

OK，现在可以使用Load PE结合ImportREC工具进行程序的进程Dump和IAT表的修复了。

运行一下脱壳完成的程序，证明脱壳成功。

手动脱RLPack壳实战的文档和脱壳后程序的下载地址：http://download.csdn.net/detail/qq1084283172/8900731

版权声明：本文为博主原创文章，未经博主允许不得转载。