【文章标题】: Themida脱壳(VC++ 7.0之Stolen Code还原的一种思路)
【文章作者】: wynney
【软件名称】: 奇迹世界
【下载地址】: 下面FTP打包下载
【编写语言】: Microsoft Visual C++ 7.0
【作者声明】: 一个朋友让帮弄的，看了下，借用okdodo的脚本到达伪OEP，被抽取了近60字节
--------------------------------------------------------------------------------
【详细过程】

  一、前言
  
  很多加壳软件对OEP的VM大多数对VC++的VM一般都很多，而且基本上是最多的，其他语言就稍少些了，VB就更少了=没有，呵呵
  
  二、达到伪OEP[用脚本]
  
  如果大家想研究如何修复IAT，到达伪OEP的话，可以研究下okdodo的脚本，大大减少体力劳动，感谢ing
  
  

00610E50 68 1CAE6000 push 0060AE1C ; 脚本停在这,记住①，Call 00610E50，看堆栈
00610E55 64:A1 00000000 mov eax, dword ptr fs:[0]
00610E5B 50 push eax
00610E5C 8B4424 10 mov eax, dword ptr [esp+10]
00610E60 896C24 10 mov dword ptr [esp+10], ebp
00610E64 8D6C24 10 lea ebp, dword ptr [esp+10]
00610E68 2BE0 sub esp, eax
00610E6A 53 push ebx
00610E6B 56 push esi
00610E6C 57 push edi
00610E6D 8B45 F8 mov eax, dword ptr [ebp-8]
00610E70 8965 E8 mov dword ptr [ebp-18], esp
00610E73 50 push eax
00610E74 8B45 FC mov eax, dword ptr [ebp-4]
00610E77 C745 FC FFFFFFF>mov dword ptr [ebp-4], -1
00610E7E 8945 F8 mov dword ptr [ebp-8], eax
00610E81 8D45 F0 lea eax, dword ptr [ebp-10]
00610E84 64:A3 00000000 mov dword ptr fs:[0], eax
00610E8A C3 retn ; 直接F4，F8到VM中

0060AF20 3D 00100000 cmp eax, 1000 ; 停在这，记住④ ，Call 0060AF20
0060AF25 73 0E jnb short 0060AF35
0060AF27 F7D8 neg eax
0060AF29 03C4 add eax, esp
0060AF2B 83C0 04 add eax, 4
0060AF2E 8500 test dword ptr [eax], eax
0060AF30 94 xchg eax, esp
0060AF31 8B00 mov eax, dword ptr [eax]
0060AF33 50 push eax
0060AF34 C3 retn ; 直接F4，F8到VM中

00E85C5F FF32 push dword ptr [edx] ; ■停在这，kernel32.GetVersionExA
00E85C61 E9 A0490400 jmp 00ECA606
00E85C66 21C2 and edx, eax
00E85C68 05 F047F263 add eax, 63F247F0
00E85C6D 2D DA021626 sub eax, 261602DA

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！