【文章标题】: 秒秒钟手脱Nspack3.7！
【文章作者】: flong
【作者邮箱】: flong30[at]hotmail.com
【软件名称】: XP自带的NOTEPAD.exe
【加壳方式】: Nspack3.7
【使用工具】: OllyICE v1.10 修改版
【操作平台】: XP
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  先用Nspack3.7给XP自带的NOTEPAD.exe加壳，保存为Nspack.NOTEPAD.exe。
  
  用OllyICE载入Nspack.NOTEPAD.exe，停在：
  
  0101A126 >  9C              pushfd
  0101A127    60              pushad
  0101A128    E8 00000000     call    0101A12D
  0101A12D    5D              pop     ebp
  0101A12E    83ED 07         sub     ebp, 7
  0101A131    8D8D 4AFDFFFF   lea     ecx, [ebp-2B6]
  0101A137    8039 01         cmp     byte ptr [ecx], 1
  0101A13A    0F84 42020000   je      0101A382
  
  F7几次跟入，到达0101A13A时，这个跳转比较远，第一次跳转未实现，右键－>跟随，来到
  
  0101A382    B8 00000000     mov     eax, 0
  
  F4执行到这里。再F7几次下去：
  
  0101A387    83F8 00         cmp     eax, 0
  0101A38A    74 0A           je      short 0101A396
  0101A38C    61              popad
  0101A38D    9D              popfd
  0101A38E    B8 01000000     mov     eax, 1
  0101A393    C2 0C00         retn    0C
  0101A396    61              popad
  0101A397    9D              popfd
  0101A398  - E9 00D0FEFF     jmp     0100739D
  
  0101A398大跳转出来了，F7一次
  
  0100739D      6A            db      6A                               ;  CHAR 'j'
  0100739E      70            db      70                               ;  CHAR 'p'
  0100739F      68            db      68                               ;  CHAR 'h'
  010073A0      98            db      98
  010073A1      18            db      18
  010073A2      00            db      00
  
  在0100739D上面右键－>dump,保存下来。
  
  运行一下，全部正常。
  
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2006年09月25日 下午 01:37:24

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

上传的附件：

• nspack.notepad.rar （32.59kb，18次下载）