PE-Armor V0.7X -> hying * 怎么脱壳啊?

来源：百度知道 编辑：UC知道 时间：2024/05/25 18:12:51
用什么工具可以脱下来的？
高手给解释一下。

【破解分析】

先用PEiD查壳, Excalibur 1.03 -> forgot [Overlay] *

看入口点:

0073D09D > /E9 00000000 jmp 大头贴制.0073D0A2
0073D0A2 \60 pushad
0073D0A3 E8 14000000 call 大头贴制.0073D0BC

0073D0BC 58 pop eax
0073D0BD 61 popad
0073D0BE ^ E9 0E00FFFF jmp 大头贴制.0072D0D1

到这里,和 Excalibur 1.03 一模一样, 再往下就露出狐狸尾巴来了:

0072D0D1 60 pushad ; 这个是旧版hying壳的
0072D0D2 E8 00000000 call 大头贴制.0072D0D7 ; 典型入口,新版伪装成了
0072D0D7 5D pop ebp ; Excalibur
0072D0D8 81ED D7000000 sub ebp, 0D7
0072D0DE 8DB5 EE000000 lea esi, [ebp+EE]
0072D0E4 55 push ebp
0072D0E5 56 push esi
0072D0E6 81C5 FD010000 add ebp, 1FD
0072D0EC 55 push ebp
0072D0ED C3 retn

把EP改为32D0D1, 绕过那个伪装的头部,