游戏马-QQ记牌器 1.291下载地址：http://www.onlinedown.net/soft/39147.htm
一、查壳：PEiD V0.94查壳：NsPack V1.4 -> LiuXingPing *
二、脱壳：用OllyDBG V1.10打开qqjpq.exe：
00578999 >  9C              PUSHFD    ；停在这里
0057899A    60              PUSHAD
0057899B    E8 00000000     CALL qqjpq.005789A0
按两次F8到第三行处查看ESP为0012FFA0（好像NsPack V1.4都是这样子，我还没搞懂－ESP定律？），在左下角命令框中下断点：hr 0012FFA0，按F9运行：
00578BBD    9D              POPFD    ；停在这里
00578BBE  - E9 F587E9FF     JMP qqjpq.004113B8
再按两次F8跳到004113B8：
004113B8      55           DB 55        CHAR 'U'
在这里点右键－用OllyDump脱壳调试进程，直接在弹出窗口中点"脱壳"保存为jpq.exe，再用PEiD查看为：Microsoft Visual C++ 6.0
三、调试：用OllyDBG打开jpq.exe：
004113B8 >/$  55            PUSH EBP    ；停在这里
004113B9  |.  8BEC          MOV EBP,ESP
004113BB  |.  6A FF         PUSH -1
下断点：bp ShellExecuteA，F9运行：
773EFE44 >  8BFF            MOV EDI,EDI    ；停在这里
773EFE46    55              PUSH EBP
773EFE47    8BEC            MOV EBP,ESP
773EFE49    83EC 3C         SUB ESP,3C
此时右下角堆栈窗口为：
016DFEE4   00409D9F  /CALL 到 ShellExecuteA 来自 2.00409D99
016DFEE8   00000000  |hWnd = NULL
016DFEEC   0043B540  |Operation = "open"
016DFEF0   0043B548  |FileName = "http://www.gamehorse.com"
016DFEF4   00000000  |Parameters = NULL
016DFEF8   00000000  |DefDir = NULL
016DFEFC   00000005  \IsShown = 5
说明此调用来自409D99，按Alt+F9运行到409D99的下一句409D9F（中间运行会出错，不知道为什么，按Shift+F9忽略就行了，具体是按Alt+F9停住，按Shift+F9此时会弹出网页，再按Alt+F9就到了409D9F），如下：
00409D81  |.  8BF0          MOV ESI,EAX
00409D83  |.  83C4 08       ADD ESP,8
00409D86  |.  85F6          TEST ESI,ESI
00409D88  |.  75 18         JNZ SHORT 2.00409DA2
00409D8A  |.  6A 05         PUSH 5                                   ; /IsShown = 5
00409D8C  |.  50            PUSH EAX                                 ; |DefDir
00409D8D  |.  50            PUSH EAX                                 ; |Parameters
00409D8E  |.  68 48B54300   PUSH 2.0043B548                          ; |FileName = "http://www.gamehorse.com"
00409D93  |.  68 40B54300   PUSH 2.0043B540                          ; |Operation = "open"
00409D98  |.  50            PUSH EAX                                 ; |hWnd
00409D99  |.  FF15 28134300 CALL DWORD PTR DS:[<&SHELL32.ShellExecut>; \ShellExecuteA
00409D9F  |.  5E            POP ESI    ；停在这里
00409DA0  |.  59            POP ECX
00409DA1  |.  C3            RETN
从00409D8A到00409D99就是打开网页的代码了，可以把这些全部改为NOP
但我们发现前面有一句跳转：00409D88  |.  75 18         JNZ SHORT 2.00409DA2
所以最简单的方法就是把JNZ SHORT 2.00409DA2改为JMP 409D9F，即强行跳过弹出网页部分，于是在00409D88这行点右键－汇编（或按空格），改为JMP 409D9F，结果如下：
00409D88     /EB 15         JMP SHORT 2.00409D9F
改完后在00409D88行上点右键－复制到可执行文件－选择，再在弹出窗口中点右键－保存文件，保存为QQ记牌器.exe
ok，直接运行QQ记牌器.exe,没有弹出网页了吧！
要简单这样做也行：用UltraEdit打开jpq.exe(脱壳后的)，查找“75 18 6A 05 50 50”，把75 18改为EB 15，然后另存为QQ记牌器.exe

PS：那些没用的插件、广告等等太烦人了，要免费使用别人的东西就得被强制接受一些自己不愿接受的东西，哎！有精力做这些没用的东西还不如把软件做好一点！

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课