【保护方式】：注册码 + 30次试用限制

【加密保护】：用PEID查是Armadillo 1.xx - 2.xx -> Silicon Realms Toolworks的壳，但用FI查报是Armadillo 3.7 这个程序运行之后有两个进程，应该是Armadillo的双进程。

【调试环境】：WinXP SP2、PEiD、Ollydbg、LordPE、ImportREC

【脱壳过程】：

    分离父进程后，取消以前所有的断点，下断：BP GetModuleHandleA 然后F9运行，出现以下的堆栈变化，但我一直找不到返回的时机，请各位高手指点指点。

0012EC6C   5D175394  /CALL 到 GetModuleHandleA 来自 5D17538E
0012EC70   5D1753E0  \pModule = "kernel32.dll"

0012ED2C   77F45BD8  /CALL 到 GetModuleHandleA 来自 SHLWAPI.77F45BD2
0012ED30   77F4501C  \pModule = "KERNEL32.DLL"
0012ED34   00000001
0012ED38   77F40000  SHLWAPI.77F40000
0012ED3C   00000000

0012F540   009EDE03  /CALL 到 GetModuleHandleA 来自 GraspSin.009EDDFD
0012F544   00000000  \pModule = NULL

0012BB18   0120F613  /CALL 到 GetModuleHandleA 来自 0120F60D
0012BB1C   01220B58  \pModule = "kernel32.dll"
0012BB20   01221BB4  ASCII "VirtualAlloc"

0012BB18   0120F630  /CALL 到 GetModuleHandleA 来自 0120F62A
0012BB1C   01220B58  \pModule = "kernel32.dll"
0012BB20   01221BA8  ASCII "VirtualFree"

0012EA58   01218666  /CALL 到 GetModuleHandleA 来自 01218660
0012EA5C   00000000  \pModule = NULL

0012EA8C   012182B7  /CALL 到 GetModuleHandleA 来自 012182B5
0012EA90   00000000  \pModule = NULL

0012DCF0   37221B47  /CALL 到 GetModuleHandleA 来自 CnsMin.37221B41
0012DCF4   003A7AE8  \pModule = "kernel32.dll"

0012D63C   74683BEE  /CALL 到 GetModuleHandleA 来自 74683BE8
0012D640   0012D644  \pModule = "D:\WINDOWS\system32\ntdll.dll"

0012D644   74683BEE  /CALL 到 GetModuleHandleA 来自 74683BE8
0012D648   0012D64C  \pModule = "D:\WINDOWS\system32\imm32.dll"

0012D590   74683BEE  /CALL 到 GetModuleHandleA 来自 74683BE8
0012D594   0012D598  \pModule = "D:\WINDOWS\system32\KERNEL32"

0012D734   766A0D77  /CALL 到 GetModuleHandleA 来自 WININET.766A0D71
0012D738   766A0D84  \pModule = "shlwapi.dll"
0012D73C   766A0D90  ASCII "DelayLoadFailureHook"
0012D740   766A1215  返回到 WININET.766A1215 来自 WININET.766A0D67
0012D744   76680000  WININET.76680000

0012D728   76684F17  /CALL 到 GetModuleHandleA 来自 WININET.76684F11
0012D72C   7668171C  \pModule = "KERNEL32"

0012E1C0   7365D4A4  /CALL 到 GetModuleHandleA 来自 7365D49E
0012E1C4   0012E1C8  \pModule = "D:\WINDOWS\system32\ntdll.dll"

0012EA8C   012183BF  /CALL 到 GetModuleHandleA 来自 012183BD
0012EA90   00000000  \pModule = NULL

0012EA8C   0121841F  /CALL 到 GetModuleHandleA 来自 0121841D
0012EA90   00000000  \pModule = NULL

0012EA8C   01218549  /CALL 到 GetModuleHandleA 来自 01218543
0012EA90   00000000  \pModule = NULL

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！