我有UPX脱壳却总是不认，刚学用SOFEICE，想用它却一运行的话程序就不能运行，隐藏ICE也不行！
大家过来看一下，帮一下我！

　

没附件呀！

附件:6台式机专用.rar

aspack2.12+upx

004021DF    55              PUSH EBP// dump
004021E0    8BEC            MOV EBP,ESP
004021E2    6A FF           PUSH -1
004021E4    68 E8304000     PUSH 6台式机?004030E8
004021E9    68 60234000     PUSH 6台式机?00402360                       ; JMP to MSVCRT._except_handler3
004021EE    64:A1 00000000  MOV EAX,DWORD PTR FS:[0]
004021F4    50              PUSH EAX
004021F5    64:8925 0000000>MOV DWORD PTR FS:[0],ESP
004021FC    83EC 68         SUB ESP,68
004021FF    53              PUSH EBX
00402200    56              PUSH ESI
00402201    57              PUSH EDI
00402202    8965 E8         MOV DWORD PTR SS:[EBP-18],ESP
00402205    33DB            XOR EBX,EBX
00402207    895D FC         MOV DWORD PTR SS:[EBP-4],EBX
0040220A    6A 02           PUSH 2
0040220C    FF15 78304000   CALL DWORD PTR DS:[403078]               ; MSVCRT.__set_app_type
00402212    59              POP ECX
00402213    830D 204A4000 F>OR DWORD PTR DS:[404A20],FFFFFFFF
0040221A    830D 244A4000 F>OR DWORD PTR DS:[404A24],FFFFFFFF
00402221    FF15 70304000   CALL DWORD PTR DS:[403070]               ; MSVCRT.__p__fmode
00402227    8B0D 1C4A4000   MOV ECX,DWORD PTR DS:[404A1C]
0040222D    8908            MOV DWORD PTR DS:[EAX],ECX
0040222F    FF15 80304000   CALL DWORD PTR DS:[403080]               ; MSVCRT.__p__commode
00402235    8B0D 184A4000   MOV ECX,DWORD PTR DS:[404A18]
0040223B    8908            MOV DWORD PTR DS:[EAX],ECX

　

Ollydbg

用UPX -D不就可以直接脱掉吗？
你不会没有UPXSHELL吧？

　

教程有的是，先自己照着教程学，遇到不懂的再问，不然什么都学不到。

PENinja -> +DZA Kracker/TNT!

用ODBG载入,很多nop,

00453CEB 6>  90                nop
00453CEC     90                nop
00453CED     90                nop
00453CEE     90                nop
00453CEF     90                nop
00453CF0     90                nop
00453CF1     90                nop
00453CF2     90                nop
00453CF3     90                nop

......
00453DF9     90                nop
00453DFA     90                nop
00453DFB   - E9 01220000       jmp     6.00456001  F7跟

00456001     60                pushad
00456002     E8 03000000       call    6.0045600A  变形jmp,到了这里ESP=12ffa4,用ESP定律,在命令窗口DD 12ffa4,下"硬件访问DWord断点

00456007   - E9 EB045D45       jmp     45A264F7
0045600C     55                push    ebp
0045600D     C3                retn
0045600E     E8 01000000       call    6.00456014

F9运行,会被硬件断点3次,最后一次就是OEP
0045413E     61                popad
0045413F   - E9 9BE0FAFF       jmp     6.004021DF

坚决不用 language2000 :D