CoolWolF在eXcalibur基础上修改的壳
程序下载：

http://www.fcgchina.com/fly/viewthread.php?tid=351

OD中不选择〔特权的指令〕异常选项，加载JustUnpack.exe 程序，F9运行后会停在异常处：

003A0901  IN EAX,DX                       ; I/O 命令 <--停在这里
003A0902  XOR EAX,EAX
003A0904  POP DWORD PTR FS:[EAX]
003A0907  ADD ESP,4
003A090A  CMP EBX,564D5868
003A0910  JNZ SHORT 003A0913
003A0912  INC EAX
003A0913  TEST EAX,EAX
003A0915  JE SHORT 003A091C
003A0917  JMP 003A09C7                    ; JMP to kernel32.ExitProcess
003A091C  POPAD
003A091D  RETN                            ；<--这里下中断，Shift+F9运行到这里

F8继续运行：

003A01FC  PUSHFD
003A01FD  PUSH 63
003A01FF  JNB SHORT 003A020C                      ；考耐心
003A0201  JMP SHORT 003A0205
003A0203  MOV EDI,6E8
003A0209  ADD BH,AL
003A020B  ???                                      ; 未知命令
003A020C  JNB SHORT 003A0205
003A020E  MOV EDI,EB04C483
003A0214  ADD AL,BH
003A0216  ???                                      ; 未知命令
003A0217  DEC DWORD PTR SS:[ESP]
003A021A  JNO SHORT 003A021D
003A021C  ???                                      ; 未知命令
003A021D  JNS SHORT 003A01FF
003A021F  JPE SHORT 003A0222                       ；直接F4到这里
003A0221  MOV DWORD PTR DS:[EBX+EB9D04C4],8057C701

这种代码方式都可以使用上面的方法运行。

一直运行到这里：

003A0096  JE SHORT 003A00BC
003A0098  PUSH 0
003A009A  PUSH 0
003A009C  PUSH 4
003A009E  LEA EAX,DWORD PTR SS:[ESP+8]
003A00A2  PUSH EAX
003A00A3  PUSH 7
003A00A5  CALL DWORD PTR SS:[EBP+403306]  ; kernel32.GetCurrentProcess
003A00AB  PUSH EAX
003A00AC  CALL EDI                        ; ntdll.ZwQueryInformationProcess
003A00AE  POP EAX
003A00AF  OR EAX,EAX
003A00B1  JE SHORT 003A00BC               ；这里必须跳！修改它。
003A00B3  JMP SHORT 003A00B7

继续，到下面就是处理IAT表的代码了，我选择了不在壳中修复的方法，这里就不过它了：

003A0380  MOV EAX,DWORD PTR DS:[<&KERNEL32.LoadLibraryA>]
003A0385  CALL 003A01BA
003A038A  CALL EAX
003A038C  TEST EAX,EAX
003A038E  JE 003A0986
003A0394  CALL 003A039A
003A0399  IMUL EBX,DWORD PTR DS:[ECX-21],402A82BD
003A03A0  ADD BH,BL
003A03A2  LODS DWORD PTR DS:[ESI]
003A03A3  SUB BYTE PTR DS:[EDX],40
003A03A6  ADD BL,CH
003A03A8  ADD EAX,EDI
003A03AA  TEST BYTE PTR DS:[EBX+FFFDFFE8],CL
003A03B0  JMP FAR EBX                                          ; 非法使用寄存器
003A03B2  ADD EAX,EDI
003A03B4  TEST BYTE PTR DS:[EDX+344F8589],BL
003A03BA  INC EAX
003A03BB  ADD BYTE PTR DS:[EDX],CH
003A03BE  POP DWORD PTR SS:[EBP+40344B]
003A03C4  JMP SHORT 003A03C9
003A03C6  MOV DWORD PTR DS:[EBX+ECX*4+C085068B],2B3C958B
003A03D1  INC EAX
003A03D2  ADD BYTE PTR SS:[EBP+3],DH
003A03D5  MOV EAX,DWORD PTR DS:[ESI+10]
003A03D8  JMP SHORT 003A03DD
003A03DA  MOV DWORD PTR DS:[ECX+EBP*2+8503C203],40344B
003A03E5  JMP SHORT 003A03EA
003A03E7  MOV DWORD PTR DS:[ECX+EBP*2+D3F7188B],7E8B1089
003A03F2  ADC BL,CH
003A03F4  ADD EAX,EDI
003A03F6  TEST BYTE PTR DS:[ECX+3],CH
003A03F9  CLI
003A03FA  ADD EDI,DWORD PTR SS:[EBP+40344B]
003A0400  TEST EBX,EBX
003A0402  JE 003A089B
003A0408  PUSHFD
003A0409  PUSH 63
003A040B  JNB SHORT 003A0418
003A040D  JMP SHORT 003A0411
003A040F  CALL 0040ECFC
003A0414  ADD BYTE PTR DS:[EAX],AL
003A0416  CALL E9317803
003A041B  CALL EB3EC8A3
003A0420  ADD CH,AL
003A0422  CALL 715E1126
003A0427  ADD EAX,EBP
003A0429  JNS SHORT 003A040B
003A042B  JPE SHORT 003A042E
003A042D  CALL 9D3EC8B5
003A0432  JMP SHORT 003A0435
003A0434  CALL 003AC830
003A0439  ADD BYTE PTR DS:[EAX+85C60C74],AL
003A043F  PUSH EBX
003A0440  XOR AL,40
003A0442  ADD BYTE PTR DS:[ECX],AL
003A0444  JMP 003A057F
003A0449  MOV BYTE PTR SS:[EBP+403453],0
003A0450  ADD EBX,EDX
003A0452  PUSHFD
003A0453  PUSH 63
003A0455  JNB SHORT 003A0462
003A0457  JMP SHORT 003A045B
003A0459  IMUL EBP,DWORD PTR DS:[ECX-18],6
003A0460  IMUL EBP,DWORD PTR DS:[ECX+73],836969F7
003A0467  LES EAX,FWORD PTR DS:[EBX+EBP*8]                     ; 修正的段位寄存器
003A046A  ADD CH,BYTE PTR DS:[ECX+69]
003A046D  DEC DWORD PTR SS:[ESP]
003A0470  JNO SHORT 003A0473
003A0472  IMUL EDI,DWORD PTR DS:[ECX-20],8369017A
003A0479  LES EAX,FWORD PTR DS:[EBX*4+B86901EB]                ; 修正的段位寄存器
003A0480  CLC
003A0481  MOV BYTE PTR SS:[EBP+53],DH
003A0485  SUB ECX,ECX
003A0487  MOV CL,BYTE PTR DS:[EBX]
003A0489  XOR CL,AL
003A048B  PUSHFD
003A048C  PUSH 63
003A048E  JNB SHORT 003A049B
003A0490  JMP SHORT 003A0494
003A0492  JMP 0040ED80
003A0497  ADD BYTE PTR DS:[EAX],AL
003A0499  JMP EA317887
003A049E  JMP EB3EC926
003A04A3  ADD CH,CL
003A04A5  JMP 715E11A9
003A04AA  ADD ECX,EBP
003A04AC  JNS SHORT 003A048E
003A04AE  JPE SHORT 003A04B1
003A04B0  JMP 9D3EC938
003A04B5  JMP SHORT 003A04B8
003A04B7  JMP 6AD6D0BE
003A04BC  ARPL WORD PTR DS:[EBX+B],SI
003A04BF  JMP SHORT 003A04C3
003A04C1  CALL 0040EDAE
003A04C6  ADD BYTE PTR DS:[EAX],AL
003A04C8  CALL E93178B5
003A04CD  CALL EB3EC955
003A04D2  ADD CH,AL
003A04D4  CALL 715E11D8
003A04D9  ADD EAX,EBP
003A04DB  JNS SHORT 003A04BD
003A04DD  JPE SHORT 003A04E0
003A04DF  CALL 9D3EC967
003A04E4  JMP SHORT 003A04E7
003A04E6  CALL 6AD6CD15
003A04EB  ARPL WORD PTR DS:[EBX+B],SI
003A04EE  JMP SHORT 003A04F2
003A04F0  JMP 0040EDDE
003A04F5  ADD BYTE PTR DS:[EAX],AL
003A04F7  JMP EA3178E5
003A04FC  JMP EB3EC984
003A0501  ADD CH,CL
003A0503  JMP 715E1207
003A0508  ADD ECX,EBP
003A050A  JNS SHORT 003A04EC
003A050C  JPE SHORT 003A050F
003A050E  JMP 9D3EC996
003A0513  JMP SHORT 003A0516
003A0515  JMP 9CAEC5DB
003A051A  PUSH 63
003A051C  JNB SHORT 003A0529
003A051E  JMP SHORT 003A0522
003A0520  JMP 0040EE0E
003A0525  ADD BYTE PTR DS:[EAX],AL
003A0527  JMP EA317915
003A052C  JMP EB3EC9B4
003A0531  ADD CH,CL
003A0533  JMP 715E1237
003A0538  ADD ECX,EBP
003A053A  JNS SHORT 003A051C
003A053C  JPE SHORT 003A053F
003A053E  JMP 9D3EC9C6
003A0543  JMP SHORT 003A0546
003A0545  JMP 857D10D2
003A054A  LEAVE
003A054B  JNZ 003A0487
003A0551  POP EBX
003A0552  PUSHFD
003A0553  PUSH 63
003A0555  JNB SHORT 003A0562
003A0557  JMP SHORT 003A055B
003A0559  CALL 0040EE46
003A055E  ADD BYTE PTR DS:[EAX],AL
003A0560  CALL E931794D
003A0565  CALL EB3EC9ED
003A056A  ADD CH,AL
003A056C  CALL 715E1270
003A0571  ADD EAX,EBP
003A0573  JNS SHORT 003A0555
003A0575  JPE SHORT 003A0578
003A0577  CALL 9D3EC9FF
003A057C  JMP SHORT 003A057F
003A057E  CALL 0039E904
003A0583  ???                                                  ; 未知命令
003A0585  PUSH EBX
003A0586  PUSH DWORD PTR SS:[EBP+40344F]
003A058C  PUSHFD
003A058D  PUSH 63
003A058F  JNB SHORT 003A059C
003A0591  JMP SHORT 003A0595
003A0593  CALL 0040EE80
003A0598  ADD BYTE PTR DS:[EAX],AL
003A059A  CALL E9317987
003A059F  CALL EB3ECA27
003A05A4  ADD CH,AL
003A05A6  CALL 715E12AA
003A05AB  ADD EAX,EBP
003A05AD  JNS SHORT 003A058F
003A05AF  JPE SHORT 003A05B2
003A05B1  CALL 9D3ECA39
003A05B6  JMP SHORT 003A05B9
003A05B8  CALL 409B355E
003A05BD  ADD AL,CH
003A05BF  IDIV EBX
003A05C1  ???                                                  ; 未知命令
003A05C3  CALL EAX
003A05C5  TEST EAX,EAX
003A05C7  JE 003A0993
003A05CD  PUSHFD
003A05CE  PUSH 63
003A05D0  JNB SHORT 003A05DD
003A05D2  JMP SHORT 003A05D6
003A05D4  JMP 0040EEC2
003A05D9  ADD BYTE PTR DS:[EAX],AL
003A05DB  JMP EA3179C9
003A05E0  JMP EB3ECA68
003A05E5  ADD CH,CL
003A05E7  JMP 715E12EB
003A05EC  ADD ECX,EBP
003A05EE  JNS SHORT 003A05D0
003A05F0  JPE SHORT 003A05F3
003A05F2  JMP 9D3ECA7A
003A05F7  JMP SHORT 003A05FA
003A05F9  JMP 0035C1E6
003A05FE  JMP DWORD PTR DS:[EAX-64]
003A0601  PUSH 63
003A0603  JNB SHORT 003A0610
003A0605  JMP SHORT 003A0609
003A0607  CALL FAR 0000:0006E89A                               ; 远距呼叫
003A060E  CALL FAR 839A:9AF7739A                               ; 远距呼叫
003A0615  LES EAX,FWORD PTR DS:[EBX+EBP*8]                     ; 修正的段位寄存器
003A0618  ADD BL,BYTE PTR DS:[EDX+240CFF9A]
003A061E  JNO SHORT 003A0621
003A0620  CALL FAR 839A:017AE079                               ; 远距呼叫
003A0627  LES EAX,FWORD PTR DS:[EBX*4+BB9A01EB]                ; 修正的段位寄存器
003A062E  INC EDI
003A062F  POPAD
003A0630  INC EAX
003A0631  ADD BYTE PTR SS:[EBP+4028D38D],CL
003A0637  ADD BYTE PTR DS:[EBX],AL
003A0639  SBB DWORD PTR DS:[ECX+DB639],EAX
003A063F  ADD BYTE PTR DS:[EDI],CL
003A0641  AND DWORD PTR DS:[ECX],2
003A0644  ADD BYTE PTR DS:[EAX],AL
003A0646  PUSH EBX
003A0647  PUSHFD
003A0648  PUSH 63
003A064A  JNB SHORT 003A0657
003A064C  JMP SHORT 003A0650
003A064E  LEA ECX,DWORD PTR SS:[EBP+6E8]
003A0654  ADD BYTE PTR SS:[EBP+8DF7738D],CL
003A065A  LEA EAX,DWORD PTR DS:[EBX+2EB04C4]
003A0660  LEA ECX,DWORD PTR SS:[EBP+71240CFF]
003A0666  ADD DWORD PTR SS:[EBP+17AE079],ECX
003A066C  LEA EAX,DWORD PTR DS:[EBX+EB9D04C4]
003A0672  ADD DWORD PTR SS:[EBP+636A9C57],ECX
003A0678  JNB SHORT 003A0685
003A067A  JMP SHORT 003A067E
003A067C  MOV ECX,DWORD PTR DS:[EBX+6E8]
003A0682  ADD BYTE PTR DS:[EBX+8BF7738B],CL
003A0688  MOV EAX,DWORD PTR DS:[EBX+2EB04C4]
003A068E  MOV ECX,DWORD PTR DS:[EBX+71240CFF]
003A0694  ADD DWORD PTR DS:[EBX+17AE079],ECX
003A069A  MOV EAX,DWORD PTR DS:[EBX+EB9D04C4]
003A06A0  ADD DWORD PTR DS:[EBX+80108A51],ECX
003A06A6  CLI
003A06A7  PUSH EAX
003A06A8  JB SHORT 003A06AF
003A06AA  CMP DL,5F
003A06AD  JBE SHORT 003A06E9
003A06AF  CMP DL,6A
003A06B2  JE SHORT 003A06ED
003A06B4  CMP DL,68
003A06B7  JE SHORT 003A06F1
003A06B9  CMP DL,0B0
003A06BC  JB SHORT 003A06C3
003A06BE  CMP DL,0B7
003A06C1  JBE SHORT 003A06ED
003A06C3  LEA ESI,DWORD PTR SS:[EBP+403454]
003A06C9  PUSH 4
003A06CB  POP ECX
003A06CC  MOV DL,BYTE PTR DS:[ESI]
003A06CE  CMP BYTE PTR DS:[EAX],DL
003A06D0  JNZ SHORT 003A06E4
003A06D2  MOV EDI,ECX
003A06D4  PUSH 3F
003A06D6  POP ECX
003A06D7  MOV DL,0C0
003A06D9  CMP BYTE PTR DS:[EAX+1],DL
003A06DC  JE SHORT 003A06ED
003A06DE  INC DL
003A06E0  LOOPD SHORT 003A06D9
003A06E2  MOV ECX,EDI
003A06E4  INC ESI
003A06E5  LOOPD SHORT 003A06CC
003A06E7  JMP SHORT 003A074A
003A06E9  MOV DL,1
003A06EB  JMP SHORT 003A06F3
003A06ED  MOV DL,2
003A06EF  JMP SHORT 003A06F3
003A06F1  MOV DL,5
003A06F3  PUSH 3
003A06F5  POP ECX
003A06F6  MOV WORD PTR DS:[EBX],1EB
003A06FB  MOV BYTE PTR DS:[EBX+2],AL
003A06FE  ADD DWORD PTR SS:[EBP+4028D3],ECX
003A0704  ADD EBX,ECX
003A0706  PUSHFD
003A0707  PUSH 63
003A0709  JNB SHORT 003A0716
003A070B  JMP SHORT 003A070F
003A070D  MOV EDI,6E8
003A0713  ADD BH,AL
003A0715  ???                                                  ; 未知命令
003A0716  JNB SHORT 003A070F
003A0718  MOV EDI,EB04C483
003A071E  ADD AL,BH
003A0720  ???                                                  ; 未知命令
003A0721  DEC DWORD PTR SS:[ESP]
003A0724  JNO SHORT 003A0727
003A0726  ???                                                  ; 未知命令
003A0727  JNS SHORT 003A0709
003A0729  JPE SHORT 003A072C
003A072B  MOV DWORD PTR DS:[EBX+EB9D04C4],B60FC701
003A0735  ROL BYTE PTR DS:[ECX],CL
003A0737  XCHG EAX,EBP
003A0738  SHR DWORD PTR DS:[EAX],CL
003A073A  INC EAX
003A073B  ADD BYTE PTR DS:[EDX+400B8808],CL
003A0741  INC EBX
003A0742  DEC EDX
003A0743  JNZ SHORT 003A073C
003A0745  JMP 003A06A3
003A074A  POP ECX
003A074B  PUSHFD
003A074C  PUSH 63
003A074E  JNB SHORT 003A075B
003A0750  JMP SHORT 003A0754
003A0752  IMUL EBP,DWORD PTR DS:[ECX-18],6
003A0759  IMUL EBP,DWORD PTR DS:[ECX+73],836969F7
003A0760  LES EAX,FWORD PTR DS:[EBX+EBP*8]                     ; 修正的段位寄存器
003A0763  ADD CH,BYTE PTR DS:[ECX+69]
003A0766  DEC DWORD PTR SS:[ESP]
003A0769  JNO SHORT 003A076C
003A076B  IMUL EDI,DWORD PTR DS:[ECX-20],8369017A
003A0772  LES EAX,FWORD PTR DS:[EBX*4+6A6901EB]                ; 修正的段位寄存器
003A0779  ADD EAX,636A9C5A
003A077E  JNB SHORT 003A078B
003A0780  JMP SHORT 003A0784
003A0782  MOV EDI,6E8
003A0788  ADD BH,AL
003A078A  ???                                                  ; 未知命令
003A078B  JNB SHORT 003A0784
003A078D  MOV EDI,EB04C483
003A0793  ADD AL,BH
003A0795  ???                                                  ; 未知命令
003A0796  DEC DWORD PTR SS:[ESP]
003A0799  JNO SHORT 003A079C
003A079B  ???                                                  ; 未知命令
003A079C  JNS SHORT 003A077E
003A079E  JPE SHORT 003A07A1
003A07A0  MOV DWORD PTR DS:[EBX+EB9D04C4],C32BC701
003A07AA  SUB EAX,EDX
003A07AC  MOV BYTE PTR DS:[EBX],0E9
003A07AF  MOV DWORD PTR DS:[EBX+1],EAX
003A07B2  ADD DWORD PTR DS:[ECX],EDX
003A07B4  PUSHFD
003A07B5  PUSH 63
003A07B7  JNB SHORT 003A07C4
003A07B9  JMP SHORT 003A07BD
003A07BB  JMP 0040F0A9
003A07C0  ADD BYTE PTR DS:[EAX],AL
003A07C2  JMP EA317BB0
003A07C7  JMP EB3ECC4F
003A07CC  ADD CH,CL
003A07CE  JMP 715E14D2
003A07D3  ADD ECX,EBP
003A07D5  JNS SHORT 003A07B7
003A07D7  JPE SHORT 003A07DA
003A07D9  JMP 9D3ECC61
003A07DE  JMP SHORT 003A07E1
003A07E0  JMP E89A6044
003A07E5  ADC EAX,68000000
003A07EA  XCHG ESI,EDX
003A07EC  ADC AL,BYTE PTR DS:[EAX]
003A07EE  XOR DWORD PTR SS:[ESP],12D687
003A07F5  RETN
003A07F6  ADD BYTE PTR DS:[EAX],AL
003A07F8  ADD BYTE PTR DS:[EAX],AL
003A07FA  ADD BYTE PTR DS:[EAX],AL
003A07FC  ADD BYTE PTR DS:[EAX],AL
003A07FE  POP ESI
003A07FF  PUSH EAX
003A0800  CALL DWORD PTR SS:[EBP+403344]
003A0806  ROR EAX,7
003A0809  MOV DWORD PTR SS:[EBP+4030C3],EAX
003A080F  POP EDX
003A0810  XOR EDX,EAX
003A0812  MOV DWORD PTR SS:[EBP+4030BC],EDX
003A0818  MOV ECX,0D
003A081D  PUSHAD
003A081E  LEA EDI,DWORD PTR SS:[EBP+4030CC]
003A0824  CMP DWORD PTR DS:[EDI],ECX
003A0826  JA SHORT 003A0846
003A0828  MOV ECX,1000
003A082D  PUSH ECX
003A082E  PUSH 4
003A0830  PUSH 3000
003A0835  PUSH ECX
003A0836  PUSH 0
003A0838  CALL DWORD PTR DS:[<&KERNEL32.VirtualAlloc>]         ; kernel32.VirtualAlloc
003A083E  POP ECX                                              ；申请一个临时空间放变形的跳转表
003A083F  MOV DWORD PTR DS:[EDI],ECX
003A0841  SUB EDI,4
003A0844  MOV DWORD PTR DS:[EDI],EAX
003A0846  POPAD
003A0847  MOV EDI,DWORD PTR SS:[EBP+4030C8]
003A084D  PUSH EDI
003A084E  PUSH ECX
003A084F  PUSHFD
003A0850  CLD
003A0851  REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
003A0853  POPFD
003A0854  POP ECX
003A0855  SUB DWORD PTR SS:[EBP+4030CC],ECX
003A085B  ADD DWORD PTR SS:[EBP+4030C8],ECX
003A0861  POP EAX
003A0862  MOV DWORD PTR SS:[ESP+1C],EAX
003A0866  POPAD
003A0867  MOV DWORD PTR DS:[EDI],EAX
003A0869  ADD DWORD PTR SS:[EBP+40344B],4
003A0870  POPAD
003A0871  CMP BYTE PTR SS:[EBP+403453],0
003A0878  JNZ SHORT 003A0896
003A087A  FISTP QWORD PTR SS:[EBP+402A82]
003A0880  FILD QWORD PTR SS:[EBP+402A82]
003A0886  JMP SHORT 003A088A
003A0888  VxDJump 2C9B858D
003A088E  INC EAX
003A088F  ADD BYTE PTR DS:[EAX-17],DL
003A0892  SBB BH,CL
003A0894  ???                                                  ; 未知命令
003A0896  JMP 003A03C9
003A089B  PUSH 5
003A089D  POP ECX
003A089E  XCHG ESI,EDI
003A08A0  REP STOS DWORD PTR ES:[EDI]
003A08A2  XCHG ESI,EDI
003A08A4  MOV EDX,DWORD PTR SS:[EBP+402B3C]
003A08AA  JMP 003A0316
003A08AF  POPAD                                               ；直接到这里出来
003A08B0  RETN

这段代码好像没有作用：

003A094B  PUSHAD
003A094C  MOV EAX,30
003A0951  PUSH DWORD PTR FS:[EAX]
003A0954  POP EAX
003A0955  TEST EAX,EAX
003A0957  JS SHORT 003A0968
003A0959  MOV EAX,DWORD PTR DS:[EAX+C]
003A095C  MOV EAX,DWORD PTR DS:[EAX+C]
003A095F  MOV DWORD PTR DS:[EAX+20],-1
003A0966  JMP SHORT 003A0984
003A0968  PUSH 0
003A096A  CALL DWORD PTR DS:[<&KERNEL32.GetModuleHandleA>]     ; kernel32.GetModuleHandleA
003A0970  TEST EDX,EDX
003A0972  JNS SHORT 003A0984
003A0974  CMP DWORD PTR DS:[EDX+8],-1
003A0978  JNZ SHORT 003A0984
003A097A  MOV EDX,DWORD PTR DS:[EDX+4]
003A097D  MOV DWORD PTR DS:[EDX+50],-1
003A0984  POPAD
003A0985  RETN

这里就到了隐藏线程的代码了：

003A00E1  PUSH 1
003A00E3  PUSH DWORD PTR SS:[EBP+40340F]
003A00E9  CALL DWORD PTR SS:[EBP+40338F]                   ; USER32.EnableWindow
003A00EF  PUSH EAX
003A00F0  PUSH EAX
003A00F1  FISTP QWORD PTR SS:[ESP]
003A00F4  POP EAX
003A00F5  POP EAX
003A00F6  PUSH 0
003A00F8  PUSH ESP
003A00F9  PUSH 0
003A00FB  PUSH 0
003A00FD  PUSH 4019A5                                    ;<--看看这个参数就是OEP（线程的入口）
003A0102  PUSH 0
003A0104  PUSH 0
003A0106  CALL DWORD PTR SS:[EBP+4032D1]                 ; kernel32.CreateThread
/////////////////////////////////////////////////////////////////
0012FF98   003A010C  /CALL 到 CreateThread 来自 003A0106
0012FF9C   00000000  |pSecurity = NULL
0012FFA0   00000000  |StackSize = 0
0012FFA4   004019A5  |ThreadFunction = JustUnpa.004019A5   //把主程序当成一个线程运行，运行的入口就是这个地址.
0012FFA8   00000000  |pThreadParm = NULL
0012FFAC   00000000  |CreationFlags = 0
0012FFB0   0012FFB4  \pThreadId = 0012FFB4

////////////////////////////////////////////////////////////////
003A010C  MOV EDI,DWORD PTR SS:[EBP+4033CA]
003A0112  OR EDI,EDI
003A0114  JE SHORT 003A011F
003A0116  PUSH 0
003A0118  PUSH 0
003A011A  PUSH 11
003A011C  PUSH EAX
003A011D  CALL EDI                                        ; ntdll.ZwSetInformationThread
003A011F  CALL DWORD PTR SS:[EBP+4032F1]                  ; kernel32.GetCurrentThread
//获得当前线程的伪句柄
003A0125  PUSH EAX
003A0126  CALL DWORD PTR SS:[EBP+4032E2]                  ; kernel32.ExitThread
//关闭当前线程
003A012C  PUSHFD
003A012D  PUSH 63
003A012F  JNB SHORT 003A013C
003A0131  JMP SHORT 003A0135

这个思想看起来不错，只是留下的痕迹太明显。现在知道了主程序的入口地址就可以在CreateThread函数前直接jump到入口地址。

jmp  JustUnpa.004019A5：

004019A5  PUSH 1                                 <--OEP 停在这里 dump下程序
004019A7  CALL DWORD PTR DS:[401024]
004019AD  PUSH EAX
004019AE  PUSH 0
004019B0  PUSH 0
004019B2  CALL DWORD PTR DS:[40101C]
004019B8  PUSH EAX
004019B9  CALL JustUnpa.00401985
004019BE  PUSH EAX
004019BF  CALL DWORD PTR DS:[401020]

现在来修复IAT表，壳中修复比较麻烦，还使用了时间效验。
先看看现在的IAT表：
00401000  A0 01 3B 00 AD 01 3B 00  ?;.?;.
00401008  BA 01 3B 00 00 00 00 00  ?;.....
00401010  00 00 3B 00 0D 00 3B 00  ..;...;.
00401018  1A 00 3B 00 27 00 3B 00  .;.'.;.
00401020  34 00 3B 00 41 00 3B 00  4.;.A.;.
00401028  4E 00 3B 00 5B 00 3B 00  N.;.[.;.
00401030  68 00 3B 00 75 00 3B 00  h.;.u.;.
00401038  82 00 3B 00 8F 00 3B 00  ?;.?;.
00401040  9C 00 3B 00 A9 00 3B 00  ?;.?;.
00401048  B6 00 3B 00 C3 00 3B 00  ?;.?;.
00401050  D0 00 3B 00 DD 00 3B 00  ?;.?;.
00401058  EA 00 3B 00 F7 00 3B 00  ?;.?;.
00401060  04 01 3B 00 11 01 3B 00  ;.;.
00401068  1E 01 3B 00 2B 01 3B 00  ;.+;.
00401070  38 01 3B 00 00 00 00 00  8;.....
00401078  45 01 3B 00 52 01 3B 00  E;.R;.
00401080  5F 01 3B 00 6C 01 3B 00  _;.l;.
00401088  79 01 3B 00 86 01 3B 00  y;.?;.
00401090  93 01 3B 00 00 00 00 00  ?;.....

被指向临时空间加密的跳转表：
003B0000  PUSH B8404DD4
003B0005  XOR DWORD PTR SS:[ESP],B8002C93
003B000C  RETN
003B000D  PUSH B8404DC9
003B0012  XOR DWORD PTR SS:[ESP],B8002C93
003B0019  RETN
003B001A  PUSH B8404DCC
003B001F  XOR DWORD PTR SS:[ESP],B8002C93
003B0026  RETN
003B0027  PUSH B8404DFB
003B002C  XOR DWORD PTR SS:[ESP],B8002C93
003B0033  RETN
003B0034  PUSH B8404DFE
003B0039  XOR DWORD PTR SS:[ESP],B8002C93
003B0040  RETN
003B0041  PUSH B8404D1B
003B0046  XOR DWORD PTR SS:[ESP],B8002C93
003B004D  RETN
003B004E  PUSH B8404D1E
003B0053  XOR DWORD PTR SS:[ESP],B8002C93
003B005A  RETN
003B005B  PUSH B8404D0C
003B0060  XOR DWORD PTR SS:[ESP],B8002C93
003B0067  RETN
003B0068  PUSH B8404D27
003B006D  XOR DWORD PTR SS:[ESP],B8002C93
003B0074  RETN
003B0075  PUSH B8404D5A
003B007A  XOR DWORD PTR SS:[ESP],B8002C93
003B0081  RETN
003B0082  PUSH B8404D4D
003B0087  XOR DWORD PTR SS:[ESP],B8002C93
003B008E  RETN
003B008F  PUSH B8404D74
003B0094  XOR DWORD PTR SS:[ESP],B8002C93
003B009B  RETN
003B009C  PUSH B8404D7F
003B00A1  XOR DWORD PTR SS:[ESP],B8002C93
003B00A8  RETN
003B00A9  PUSH B8404E99
003B00AE  XOR DWORD PTR SS:[ESP],B8002C93
003B00B5  RETN
003B00B6  PUSH CC404E8B
003B00BB  XOR DWORD PTR SS:[ESP],CC002C93
003B00C2  RETN
003B00C3  PUSH CC404EBD
003B00C8  XOR DWORD PTR SS:[ESP],CC002C93
003B00CF  RETN
003B00D0  PUSH CC404EA0
003B00D5  XOR DWORD PTR SS:[ESP],CC002C93
003B00DC  RETN
003B00DD  PUSH CC404EAB
003B00E2  XOR DWORD PTR SS:[ESP],CC002C93
003B00E9  RETN
003B00EA  PUSH CC404EAE
003B00EF  XOR DWORD PTR SS:[ESP],CC002C93
003B00F6  RETN
003B00F7  PUSH CC404ED1
003B00FC  XOR DWORD PTR SS:[ESP],CC002C93
003B0103  RETN
003B0104  PUSH CC404EC3
003B0109  XOR DWORD PTR SS:[ESP],CC002C93
003B0110  RETN
003B0111  PUSH CC404EC6
003B0116  XOR DWORD PTR SS:[ESP],CC002C93
003B011D  RETN
003B011E  PUSH CC404EC9
003B0123  XOR DWORD PTR SS:[ESP],CC002C93
003B012A  RETN
003B012B  PUSH CC404EFB
003B0130  XOR DWORD PTR SS:[ESP],CC002C93
003B0137  RETN
003B0138  PUSH CC404EFE
003B013D  XOR DWORD PTR SS:[ESP],CC002C93
003B0144  RETN
003B0145  PUSH CC404EE8
003B014A  XOR DWORD PTR SS:[ESP],CC002C93
003B0151  RETN
003B0152  PUSH CC404E05
003B0157  XOR DWORD PTR SS:[ESP],CC002C93
003B015E  RETN
003B015F  PUSH CC404E22
003B0164  XOR DWORD PTR SS:[ESP],CC002C93
003B016B  RETN
003B016C  PUSH CC404E25
003B0171  XOR DWORD PTR SS:[ESP],CC002C93
003B0178  RETN
003B0179  PUSH CC404E5A
003B017E  XOR DWORD PTR SS:[ESP],CC002C93
003B0185  RETN
003B0186  PUSH CC404E4F
003B018B  XOR DWORD PTR SS:[ESP],CC002C93
003B0192  RETN
003B0193  PUSH CC404E7C
003B0198  XOR DWORD PTR SS:[ESP],CC002C93
003B019F  RETN
003B01A0  PUSH CC404F95
003B01A5  XOR DWORD PTR SS:[ESP],CC002C93
003B01AC  RETN
003B01AD  PUSH CC404F87
003B01B2  XOR DWORD PTR SS:[ESP],CC002C93
003B01B9  RETN
003B01BA  PUSH CC404FB1
003B01BF  XOR DWORD PTR SS:[ESP],CC002C93
003B01C6  RETN

写个代码恢复跳转地址:

00406000 >  60              PUSHAD
00406001    9C              PUSHFD
00406002    B8 00003B00     MOV EAX,3B0000                                   ; ASCII "hGa@"
00406007    8B50 08         MOV EDX,DWORD PTR DS:[EAX+8]
0040600A    3150 01         XOR DWORD PTR DS:[EAX+1],EDX
0040600D    8D40 0D         LEA EAX,DWORD PTR DS:[EAX+D]
00406010    3D C7013B00     CMP EAX,3B01C7
00406015    7F 04           JG SHORT JustUnpa.0040601B
00406017  ^ EB EE           JMP SHORT JustUnpa.00406007
00406019    90              NOP
0040601A    90              NOP
0040601B    9D              POPFD
0040601C    61              POPAD
0040601D  - E9 83B9FFFF     JMP JustUnpa.004019A5
00406022    90              NOP

变成这样：
003B0000  PUSH 406147
003B0005  XOR DWORD PTR SS:[ESP],B8002C93
003B000C  RETN
003B000D  PUSH 40615A
003B0012  XOR DWORD PTR SS:[ESP],B8002C93
003B0019  RETN
003B001A  PUSH 40615F
003B001F  XOR DWORD PTR SS:[ESP],B8002C93
003B0026  RETN
003B0027  PUSH 406168
003B002C  XOR DWORD PTR SS:[ESP],B8002C93
003B0033  RETN
003B0034  PUSH 40616D
003B0039  XOR DWORD PTR SS:[ESP],B8002C93
003B0040  RETN
003B0041  PUSH 406188
003B0046  XOR DWORD PTR SS:[ESP],B8002C93
003B004D  RETN
003B004E  PUSH 40618D
003B0053  XOR DWORD PTR SS:[ESP],B8002C93
003B005A  RETN
003B005B  PUSH 40619F
003B0060  XOR DWORD PTR SS:[ESP],B8002C93
003B0067  RETN
003B0068  PUSH 4061B4
003B006D  XOR DWORD PTR SS:[ESP],B8002C93
003B0074  RETN
003B0075  PUSH 4061C9
003B007A  XOR DWORD PTR SS:[ESP],B8002C93
003B0081  RETN
003B0082  PUSH 4061DE
003B0087  XOR DWORD PTR SS:[ESP],B8002C93
003B008E  RETN
003B008F  PUSH 4061E7
003B0094  XOR DWORD PTR SS:[ESP],B8002C93
003B009B  RETN
003B009C  PUSH 4061EC
003B00A1  XOR DWORD PTR SS:[ESP],B8002C93
003B00A8  RETN
003B00A9  PUSH 40620A
003B00AE  XOR DWORD PTR SS:[ESP],B8002C93
003B00B5  RETN
003B00B6  PUSH 406218
003B00BB  XOR DWORD PTR SS:[ESP],CC002C93
003B00C2  RETN
003B00C3  PUSH 40622E
003B00C8  XOR DWORD PTR SS:[ESP],CC002C93
003B00CF  RETN
003B00D0  PUSH 406233
003B00D5  XOR DWORD PTR SS:[ESP],CC002C93
003B00DC  RETN
003B00DD  PUSH 406238
003B00E2  XOR DWORD PTR SS:[ESP],CC002C93
003B00E9  RETN
003B00EA  PUSH 40623D
003B00EF  XOR DWORD PTR SS:[ESP],CC002C93
003B00F6  RETN
003B00F7  PUSH 406242
003B00FC  XOR DWORD PTR SS:[ESP],CC002C93
003B0103  RETN
003B0104  PUSH 406250
003B0109  XOR DWORD PTR SS:[ESP],CC002C93
003B0110  RETN
003B0111  PUSH 406255
003B0116  XOR DWORD PTR SS:[ESP],CC002C93
003B011D  RETN
003B011E  PUSH 40625A
003B0123  XOR DWORD PTR SS:[ESP],CC002C93
003B012A  RETN
003B012B  PUSH 406268
003B0130  XOR DWORD PTR SS:[ESP],CC002C93
003B0137  RETN
003B0138  PUSH 40626D
003B013D  XOR DWORD PTR SS:[ESP],CC002C93
003B0144  RETN
003B0145  PUSH 40627B
003B014A  XOR DWORD PTR SS:[ESP],CC002C93
003B0151  RETN
003B0152  PUSH 406296
003B0157  XOR DWORD PTR SS:[ESP],CC002C93
003B015E  RETN
003B015F  PUSH 4062B1
003B0164  XOR DWORD PTR SS:[ESP],CC002C93
003B016B  RETN
003B016C  PUSH 4062B6
003B0171  XOR DWORD PTR SS:[ESP],CC002C93
003B0178  RETN
003B0179  PUSH 4062C9
003B017E  XOR DWORD PTR SS:[ESP],CC002C93
003B0185  RETN
003B0186  PUSH 4062DC
003B018B  XOR DWORD PTR SS:[ESP],CC002C93
003B0192  RETN
003B0193  PUSH 4062EF
003B0198  XOR DWORD PTR SS:[ESP],CC002C93
003B019F  RETN
003B01A0  PUSH 406306
003B01A5  XOR DWORD PTR SS:[ESP],CC002C93
003B01AC  RETN
003B01AD  PUSH 406314
003B01B2  XOR DWORD PTR SS:[ESP],CC002C93
003B01B9  RETN
003B01BA  PUSH 406322
003B01BF  XOR DWORD PTR SS:[ESP],CC002C93
003B01C6  RETN

再写个代码恢复IAT表：

00406000 >PUSHAD
00406001  PUSHFD
00406002  MOV EAX,JustUnpa.00401000
00406007  MOV EDX,DWORD PTR DS:[EAX]
00406009  CMP EDX,0
0040600C  JE SHORT JustUnpa.00406013
0040600E  MOV ECX,DWORD PTR DS:[EDX+1]
00406011  MOV DWORD PTR DS:[EAX],ECX
00406013  LEA EAX,DWORD PTR DS:[EAX+4]
00406016  CMP EAX,JustUnpa.00401098                ; ASCII "ZwOpenSection"
0040601B  JE SHORT JustUnpa.00406023
0040601D  JMP SHORT JustUnpa.00406007
0040601F  NOP
00406020  NOP
00406021  NOP
00406022  NOP
00406023  POPFD
00406024  POPAD
00406025  JMP JustUnpa.004019A5

恢复后的表：
00401000  06 63 40 00 14 63 40 00  c@.c@.
00401008  22 63 40 00 00 00 00 00  "c@.....
00401010  47 61 40 00 5A 61 40 00  Ga@.Za@.
00401018  5F 61 40 00 68 61 40 00  _a@.ha@.
00401020  6D 61 40 00 88 61 40 00  ma@.?@.
00401028  8D 61 40 00 9F 61 40 00  ?@.?@.
00401030  B4 61 40 00 C9 61 40 00  瘁@.舍@.
00401038  DE 61 40 00 E7 61 40 00  掎@.玑@.
00401040  EC 61 40 00 0A 62 40 00  灬@..b@.
00401048  18 62 40 00 2E 62 40 00  b@..b@.
00401050  33 62 40 00 38 62 40 00  3b@.8b@.
00401058  3D 62 40 00 42 62 40 00  =b@.Bb@.
00401060  50 62 40 00 55 62 40 00  Pb@.Ub@.
00401068  5A 62 40 00 68 62 40 00  Zb@.hb@.
00401070  6D 62 40 00 00 00 00 00  mb@.....
00401078  7B 62 40 00 96 62 40 00  {b@.?@.
00401080  B1 62 40 00 B6 62 40 00  扁@.垛@.
00401088  C9 62 40 00 DC 62 40 00  赦@.茆@.
00401090  EF 62 40 00 00 00 00 00  镡@.....

使用ImportREC的数据追踪1就可以得到正确的IAT表：

目标 : C:\Downloads\justunpack\JustUnpack.exe
OEP: 000019A5        IATRVA: 00001000        IAT大小: 00000098

FThunk: 00001000        NbFunc: 00000003
1        00001000        advapi32.dll        010E        GetSecurityInfo
1        00001004        advapi32.dll        021F        SetEntriesInAclA
1        00001008        advapi32.dll        0234        SetSecurityInfo

FThunk: 00001010        NbFunc: 00000019
1        00001010        kernel32.dll        0252        MapViewOfFile
1        00001014        kernel32.dll        0031        CloseHandle
1        00001018        kernel32.dll        0355        UnmapViewOfFile
1        0000101C        kernel32.dll        0170        GetModuleHandleA
1        00001020        kernel32.dll        00B1        ExitProcess
1        00001024        kernel32.dll        0104        GetCommandLineA
1        00001028        kernel32.dll        0246        LocalFree
1        0000102C        kernel32.dll        0203        HeapFree
1        00001030        kernel32.dll        01FD        HeapAlloc
1        00001034        kernel32.dll        0207        HeapReAlloc
1        00001038        kernel32.dll        00EB        FreeLibrary
1        0000103C        kernel32.dll        023C        LoadLibraryA
1        00001040        kernel32.dll        0192        GetProcAddress
1        00001044        kernel32.dll        0365        VirtualAlloc
1        00001048        kernel32.dll        028C        QueryPerformanceCounter
1        0000104C        kernel32.dll        01CC        GetTickCount
1        00001050        kernel32.dll        0139        GetCurrentThreadId
1        00001054        kernel32.dll        0137        GetCurrentProcessId
1        00001058        kernel32.dll        01B8        GetSystemTimeAsFileTime
1        0000105C        kernel32.dll        016E        GetModuleFileNameA
1        00001060        kernel32.dll        0341        TerminateProcess
1        00001064        kernel32.dll        0136        GetCurrentProcess
1        00001068        kernel32.dll        02BF        RtlUnwind
1        0000106C        kernel32.dll        0215        InterlockedExchange
1        00001070        kernel32.dll        036D        VirtualQuery

FThunk: 00001078        NbFunc: 00000007
1        00001078        user32.dll        009F        DialogBoxParamA
1        0000107C        user32.dll        0200        PostMessageA
1        00001080        user32.dll        01DD        MessageBoxA
1        00001084        user32.dll        01BC        LoadIconA
1        00001088        user32.dll        0248        SetClassLongA
1        0000108C        user32.dll        0237        SendDlgItemMessageA
1        00001090        user32.dll        00C7        EndDialog

修复dump下的程序，删除壳的段，用LordPE重建程序，完成脱壳。
脱壳版下载：
http://www.fcgchina.com/fly/attachment.php?aid=156

                                               fxyang
                                              2005.2.4

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！