今天看了peaceclub大大的 PeCompact 2.x 通用简单脱壳法 文章
http://bbs.pediy.com/showthread.php?s=&threadid=11194&highlight=%BD%F1%CC%EC%BB%B9%D3%D0%C5%F3%D3%D1%D4%DA%CE%CAPeCompact2.x%B5%C4%CD%D1%BF%C7%B7%BD%B7%A8

使用PEID0.94 查出是 PeCompact v2.08->Bitsum Technologies *
    FI 4.01a 查出是 PECompact v2.xx J.Collake   in first

调适选项  只勾选 忽略在 KERNE32 中的内存异常

00AEE6BD >  B8 9CF3AE00     mov     eax, 00AEF39C  << 载入 来到这
00AEE6C2    50              push    eax
00AEE6C3    64:FF35 0000000>push    dword ptr fs:[0]
00AEE6CA    64:8925 0000000>mov     fs:[0], esp
00AEE6D1    33C0            xor     eax, eax
00AEE6D3    8908            mov     [eax], ecx     << 按第一次 F9 访问违规:正在写到[00000000]
00AEE6D5    50              push    eax
00AEE6D6    45              inc     ebp

==============================================
0007F348   0007F464  指向下一个 SEH 记录的指针
0007F34C   00AEF39C  SE处理程序                    <<< 按 Ctrl + G 输入 00AEF39C
0007F350   00410A73  返回到 LOADDLL.00410A73
=============================================

00AEF39C    B8 4AE1AEF0     mov     eax, F0AEE14A         <<< Enter 后来到这 向下找 jmp     eax
00AEF3A1    8D88 75120010   lea     ecx, [eax+10001275]
00AEF3A7    8941 01         mov     [ecx+1], eax
00AEF3AA    8B5424 04       mov     edx, [esp+4]
00AEF3AE    8B52 0C         mov     edx, [edx+C]
00AEF3B1    C602 E9         mov     byte ptr [edx], 0E9
00AEF3B4    83C2 05         add     edx, 5
00AEF3B7    2BCA            sub     ecx, edx

    ~~~~~~~ 跳过 N 行后 ~~~~~~~~

00AEF458    5A              pop     edx
00AEF459    5E              pop     esi
00AEF45A    5F              pop     edi
00AEF45B    59              pop     ecx
00AEF45C    5B              pop     ebx
00AEF45D    5D              pop     ebp
00AEF45E    FFE0            jmp     eax         << 找到了 记下 00AEF45E
00AEF460    0000            add     [eax], al
00AEF462    0000            add     [eax], al
00AEF464    0000            add     [eax], al
00AEF466    0000            add     [eax], al
00AEF468    0000            add     [eax], al

============================================================

00AEE6BD >  B8 9CF3AE00     mov     eax, 00AEF39C << 用OllyICE 重新载入 来到这

下硬件执行断点: HE 00AEF45E

00AEE6C2    50              push    eax
00AEE6C3    64:FF35 0000000>push    dword ptr fs:[0]
00AEE6CA    64:8925 0000000>mov     fs:[0], esp
00AEE6D1    33C0            xor     eax, eax
00AEE6D3    8908            mov     [eax], ecx         << 按第一次 F9 到这 访问违规:正在写到[00000000]
00AEE6D5    50              push    eax
00AEE6D6    45              inc     ebp
00AEE6D7    43              inc     ebx

按下 Shift + F9

00AEF45E  - FFE0            jmp     eax       << 按下 Shift + F9 到这  ; MSEqjUI.00A2D854
00AEF460    54              push    esp
00AEF461    D8A2 00000000   fsub    dword ptr [edx]
00AEF467    0000            add     [eax], al
00AEF469    0000            add     [eax], al
00AEF46B    0000            add     [eax], al
00AEF46D    0000            add     [eax], al

按下 F8 来到好奇怪的地方 ~~~~~

00A2D854      55            db      55                               ;  CHAR 'U'
00A2D855      8B            db      8B
00A2D856      EC            db      EC
00A2D857      83            db      83
00A2D858      C4            db      C4
00A2D859      C4            db      C4
00A2D85A      B8            db      B8
00A2D85B      3C            db      3C                               ;  CHAR '<'

再来我应如何 请教各位  谢谢 ~~~~

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！