Sothink SWF Decompiler MX 2005a Build 50318 (Arm 4)脱壳
注：网上很早就有破解版，但有加壳压缩了还有1.9M多，原因你也看一下，脱壳后更利害20多M，不能跨平台，懒得用

我也来一下，什么，自己脱壳！我自己优化后（不是最优）2M多点加壳才695K，再脱壳也不是这个20多M的天文数字

我不会提供程序，想练手可以自己到网上找一下这个版本吧

【脱壳保护】：双进程调试保护 CopyMEM2，IAT乱序，Stolen Code远程跳转，CC，壳注册保护

【脱壳难度】：熟悉了解了就不是难的事。做成脚本运行，就是好玩！

【作者声明】：写此文只是感兴趣，同时我也很想借此机会锻炼一下自己的语文（主要原因），经常是人家听不懂，说话又结巴的。失误之处敬请诸位大侠赐教

【调试环境】：WinXP、OllyDbg1.10_Diy（我喜欢玩自己DIY的）_Anti、PEiD、LordPE、ImportRec

一、探望OEP

PEid0.93 查得是 Armadillo 3.78 -> Silicon Realms Toolworks

【OD设置】：忽略所有异常，同时忽略异常范围勾上:
          C000001D(ILLEGAL ISTRUCTION)
          C0000005(ACCESS ViO)
          C000001E(INVALID LOCK SEQUENCE)

OD载入停在入口处，隐藏好调试标记

005C5000 >pushad               //停在入口
005C5001  call 005C5006        ; SWFDecom.005C5006
005C5006  pop ebp
005C5007  push eax
005C5008  push ecx
005C5009  bswap edx
005C500B  not edx
005C500D  pushfd
005C500E  not edx
005C5010  bswap edx
005C5012  jmp short 005C5023   ; SWFDecom.005C5023

00D6E613  add esp,18
00D6E616  push eax                           //这个应该是版本号
00D6E617  push 0D96008                       ; ASCII "   <armVersion xsi:type=""xsd:string"">%s</armVersion>",LF
00D6E61C  lea eax,dword ptr ss:[ebp-2200]
00D6E622  push 0
00D6E624  push eax
00D6E625  call esi

00D8C7E5  sub ecx,edx
00D8C7E7  call ecx          //这里估计也是OEP，可能是校验或解码出错跑这吧
00D8C7E9  jmp short 00D8C806
00D8C7EB  cmp edi,1
00D8C7EE  jnz short 00D8C808
00D8C7F0  push dword ptr ds:[esi+4]
00D8C7F3  push dword ptr ds:[esi+8]
00D8C7F6  push 0
00D8C7F8  push edx
00D8C7F9  mov edx,dword ptr ds:[eax+74]
00D8C7FC  xor edx,dword ptr ds:[eax+60]
00D8C7FF  xor edx,dword ptr ds:[eax+2C]
00D8C802  sub ecx,edx
00D8C804  call ecx  //*** 这里是前往OEP 4B2BCD ***//

00D74588  call dword ptr ds:[D92104]         ; kernel32.GetModuleHandleA
00D7458E  mov ecx,dword ptr ds:[D9F67C]      //返回这里
00D74594  mov dword ptr ds:[esi+ecx],eax
00D74597  mov eax,dword ptr ds:[D9F67C]
00D7459C  cmp dword ptr ds:[esi+eax],ebx
00D7459F  jnz short 00D745B7
00D745A1  lea eax,dword ptr ss:[ebp-14C]
00D745A7  push eax
00D745A8  call dword ptr ds:[D9210C]         ; kernel32.LoadLibraryA
00D745AE  mov ecx,dword ptr ds:[D9F67C]
00D745B4  mov dword ptr ds:[esi+ecx],eax
00D745B7  mov eax,dword ptr ds:[D9F67C]
00D745BC  cmp dword ptr ds:[esi+eax],ebx
00D745BF  je 00D746F4                        //传闻很久的Magic Jump，改跳就是啦
00D745C5  xor ecx,ecx
00D745C7  mov eax,dword ptr ds:[edi]
00D745C9  cmp dword ptr ds:[eax],ebx
00D745CB  je short 00D745D3

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课