【脱文标题】：ESP定律巧脱Protection Plus 4.x壳SoftwareKey V1.3.1.0主程序
【下载地址】：http://www.softwarekey.com/downloads/TrialCreator/TrialCreatorSetup.exe
【软件大小】：5.5 M
【软件简介】：Trial Creator, Protection PLUS, and Instant SOLO provide you with a full suite of tools to demo, protect, sell and manage your software products.
【作者声明】：只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！
【调试环境】：WinXP、Ollydbg、PEiD、LordPE、ImportREC
【学习目的】：巧用ESP定律手脱不常见壳
―――――――――――――――――――――――――――――――――
【脱壳过程】：

引用fly兄的原话：TrialCreator.exe 用PEiD看是“Protection Plus 4.x->Concept Software”，不常见，姑且脱之吧。感觉和PC Guard、

Visual Protect等壳相似，脱壳难度：易

------------------------------------------------------------------------------------
今天与fly兄脱法唯一不同的就是我们这次使用更简便的方法脱去Protection Plus 4.x的马甲！

老规矩设置Ollydbg忽略所有异常选项，并隐藏OD。

一、脱壳开始：

00602030 >  50              push eax                               ; 进入OD后停在这,F8一次
00602031    60              pushad                                 ; 观察寄存器ESP值，命令栏下断：hr esp 回车，F9运行
00602032    29C0            sub eax,eax
00602034    64:FF30         push dword ptr fs:[eax]
00602037    E8 00000000     call TrialCre.0060203C
0060203C    5D              pop ebp
0060203D    83ED 3C         sub ebp,3C
00602040    89E8            mov eax,ebp
00602042    89A5 14000000   mov dword ptr ss:[ebp+14],esp
00602048    2B85 1C000000   sub eax,dword ptr ss:[ebp+1C]
0060204E    8985 1C000000   mov dword ptr ss:[ebp+1C],eax
00602054    8D85 27030000   lea eax,dword ptr ss:[ebp+327]
0060205A    50              push eax
0060205B    8B00            mov eax,dword ptr ds:[eax]
0060205D    85C0            test eax,eax
0060205F    0F85 C0000000   jnz TrialCre.00602125
00602065    8DBD 5B030000   lea edi,dword ptr ss:[ebp+35B]
0060206B    8DB5 43030000   lea esi,dword ptr ss:[ebp+343]

F9 运行，程序中断在INT3上异常处：

00CD2F15    C3              retn                                   ; F8单步一次，步入OEP
00CD2F16    CC              int3
00CD2F17    CC              int3
00CD2F18    CC              int3
00CD2F19    CC              int3
00CD2F1A    CC              int3
00CD2F1B    CC              int3
00CD2F1C    CC              int3
00CD2F1D    CC              int3
00CD2F1E    CC              int3
00CD2F1F    CC              int3
00CD2F20    55              push ebp
00CD2F21    89E5            mov ebp,esp
00CD2F23    9C              pushfd
00CD2F24    50              push eax
00CD2F25    53              push ebx
00CD2F26    51              push ecx
00CD2F27    52              push edx
00CD2F28    57              push edi

二、走至OEP、Dump，完成脱壳：

00464423    55              push ebp                               ; 用LordPE纠正ImageSize后完全DUMP这个进程
00464424    8BEC            mov ebp,esp
00464426    6A FF           push -1
00464428    68 18C15500     push TrialCre.0055C118
0046442D    68 2C914600     push TrialCre.0046912C
00464432    64:A1 00000000  mov eax,dword ptr fs:[0]
00464438    50              push eax
00464439    64:8925 0000000>mov dword ptr fs:[0],esp
00464440    83EC 58         sub esp,58
00464443    53              push ebx
00464444    56              push esi
00464445    57              push edi
00464446    8965 E8         mov dword ptr ss:[ebp-18],esp
00464449    FF15 20245500   call dword ptr ds:[552420]
0046444F    33D2            xor edx,edx
00464451    8AD4            mov dl,ah
00464453    8915 2CDD5900   mov dword ptr ds:[59DD2C],edx

得到dumped.exe后发现程序图标不见了，如果就这样修复输入表则程序是无法运行的，提示不是有效的程序。
用LordPE打开dumped.exe，看见最后1个区段的虚拟大小和物理大小都是0，参考原程序把其全部改为0045000

运行ImportREC，选择这个进程。把OEP改为00064423，点“IAT AutoSearch”，点“Get Import”。
FixDump，再用LordPE重建PE简单优化一下。正常运行！

--------------------------------------------------------------------------------------------------------

Copyright (C) 2006 KuNgBiM{BCG}{DFCG}{DCM}{DCT}{SLT}

--------------------------------------------------------------------------------------------------------
  UnPacked By KuNgBiM{BCG}{DFCG}{DCM}{DCT}{SLT}

                2006-03-09

                03:03:03 AM

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)