PESpin是一個Windows可執(zhí)行文件的保護(hù),壓縮機用純Win32ASM MASM的編碼。它允許整個可執(zhí)行文件壓縮 -代碼,數(shù)據(jù)和資源,使他們對修補和可執(zhí)行文件和拆卸保護(hù)。
由于Antidump和Remove OEP的保護(hù)方式處理起來都比較簡單,故同時加上這個保護(hù)方式:
對象依舊是98記事本。
OD載入后,F(xiàn)8單步2次后使用ESP定律,來到下面地方:
代碼比較亂,我們來去除下花指令,方便我們看被抽取的代碼:
去除完花指令后,代碼就清晰多了。
接著F8走下去,就可以看見stolen code了
找到所有的stolen code,整理下,二進(jìn)制代碼為:
55 8B EC 83 EC 44 56 FF 15 E8 0E 41 00 8B F0 8A 00 3C 22
哈,還比較厚道,抽取的代碼并不多,接著,下面的JMP就跳到foep去了。
來到OEP后,補上被抽取的代碼,然后,在第一句新建EIP
接著,再用UIF處理下IAT
處理完后,dump程序,再用Import REC修復(fù)一下程序。
程序就可以正常運行了。
哈,脫殼就到此結(jié)束了。
簡單總結(jié)下:
此2保護(hù)方式都非常簡單,基本的步驟就是用ESP定律,然后找回所有的stolen code,接著來到foep處,補上所有的代碼,然后用UIF修復(fù)下IAT,最后dump和修復(fù)就OK。至此,整個PESpin1.32的所有保護(hù)方式的講解到此結(jié)束。