手脱ASPack v2.12变形壳2

1.PEID载入

ASPack v2.12

2.载入OD，跟之前帖子的入口特征相同，都是一个pushad，但是请不要怀疑这是同一个壳，绝对不是，pushad下一行ESP定律下硬件断点，然后shift+F9运行一次

0057E001 >  60              pushad                            ; //程序入口点
0057E002    E8 03000000     call memcolla.0057E00A            ; //ESP定律
0057E007  - E9 EB045D45     jmp 45B4E4F7
0057E00C    55              push ebp
0057E00D    C3              retn
0057E00E    E8 01000000     call memcolla.0057E014

 

3.ESP落脚点，删除硬件断点继续F8，注意，普通的aspack壳在注释的地方会跳向OEP，但是这个没有

0057E3B0   /75 08           jnz short memcolla.0057E3BA       ; //程序落脚点
0057E3B2   |B8 01000000     mov eax,0x1
0057E3B7   |C2 0C00         retn 0xC
0057E3BA   \68 00104000     push memcolla.00401000
0057E3BF    C3              retn                              ; //普通壳会在这里跳向OEP
0057E3C0    8B85 26040000   mov eax,dword ptr ss:[ebp+0x426]
0057E3C6    8D8D 3B040000   lea ecx,dword ptr ss:[ebp+0x43B]

 

4.步骤3的retn跳向的位置，到这里继续F8

00401000    87C0            xchg eax,eax                      ; //跳转的位置
00401002    FC              cld
00401003    80EC 00         sub ah,0x0
00401006    83F1 00         xor ecx,0x0
00401009    90              nop

 

5.这是一个近call，F7跟进，然后继续F8就可以到达OEP了，需要注意的是中间有几个向上跳转，记得在下一行F4

0057D40D    E8 12000000     call memcolla.0057D424            ; //F7
0057D412    80CA 00         or dl,0x0
0057D415    50              push eax                          
0057D416    9C              pushfd
0057D417    58              pop eax                           
0057D418    F6C4 01         test ah,0x1
0057D41B  - 75 FE           jnz short memcolla.0057D41B

 

6.找到关键跳，F8一下就可以到OEP了

0057D5A3    61              popad
0057D5A4    BA F8085000     mov edx,memcolla.005008F8
0057D5A9  - FFE2            jmp edx                           ; //指向OEP的关键跳
0057D5AB    0000            add byte ptr ds:[eax],al
0057D5AD    0000            add byte ptr ds:[eax],al

 

7.来到OEP，可以脱壳了

005008F8    55              push ebp                          ; //OEP
005008F9    8BEC            mov ebp,esp
005008FB    83C4 F0         add esp,-0x10
005008FE    53              push ebx                          
005008FF    56              push esi                          
00500900    B8 10045000     mov eax,memcolla.00500410
00500905    E8 665FF0FF     call memcolla.00406870
0050090A    8B1D 08415000   mov ebx,dword ptr ds:[0x504108]   
00500910    8B35 9C415000   mov esi,dword ptr ds:[0x50419C] 

 

8.运行，查壳

运行OK，查壳：Borland Delphi 4.0