标题：海盗工作室简单脱壳及去自校验-适合初学
链接：http://www.unpack.cn/viewthread.php?tid=16424
贴者：tigerisme
日期：2007-8-20 10:32

看到脱壳区的这个讨论贴,自己试着做了一篇,简单写个教程,对于初学者估计有点帮助 ,谢谢fly大侠在讨论贴中的提示 

主文件peid显示RLPack FullEdition V1.1X -> ap0x   * Sign.By.fly *

脱壳用fly大侠的脚本，手工脱也不是很难，有很多教程可以参考.手工脱可以参考这篇文章:
http://bbs.pediy.com/showthread.php?t=39147&highlight=RLPack

我这里直接用了脚本
RLPack.Basic.Edition.V1.0b-V1.17+Full.Edition.V1.16-V1.17.UnPacK.Script
脚本下载：http://www.unpack.cn/viewthread.php?tid=9965


od载入，运行脚本直接到oep

0050E6BC     55                 push ebp                              ; This is the OEP!  Found By: fly
0050E6BD     8BEC               mov ebp,esp
0050E6BF     83C4 F0            add esp,-10
0050E6C2     B8 44E35000        mov eax,50E344
0050E6C7     E8 1081EFFF        call 004067DC                         ; 海盗工作.004067DC

这里要用LordPE进行转存为dumped.exe，修复iat，生成dumped_.exe文件，运行该文件出错，看来有自校验..





od载入dumped_.exe，f8单步向下走

找到这里f7跟进：

0050E6EB     E8 A092F6FF        call 00477990                         ; dumped_.00477990

来到这里，继续f7跟进：

004779C1     FF57 2C            call dword ptr ds:[edi+2C]

来到这里，继续f7跟进：

00470139     E8 0699FAFF        call 00419A44                         ; dumped_.00419A44

来到这里，继续f7跟进：

00419A8A     E8 29FEFFFF        call 004198B8                         ; dumped_.004198B8

接着就可以看到fly大侠提示的自校验处了

004198C6    /75 19              jnz short 004198E1                    ; dumped_.004198E1    nop掉即可
004198C8    |B2 01              mov dl,1
004198CA    |A1 4C754100        mov eax,dword ptr ds:[41754C]
004198CF    |E8 5C9FFEFF        call 00403830                         ; dumped_.00403830
004198D4    |8BD8               mov ebx,eax
004198D6    |E8 B5CEFEFF        call 00406790                         ; dumped_.00406790
004198DB    |8998 0C000000      mov dword ptr ds:[eax+C],ebx
004198E1    \E8 AACEFEFF        call 00406790                         ; dumped_.00406790

保存修改的文件,运行ok!



下载链接：http://www.unpack.cn/attachment.php?aid=10887
下载链接：http://www.unpack.cn/attachment.php?aid=10888
下载链接：http://www.unpack.cn/attachment.php?aid=10889