小提示：
花指令
初步跟踪看见加密了跳转地址

;)

变态~~~~~

搞不定

oep:
00406B07 CALL    0040965A

最初由 forgot 发布
oep:
00406B07 CALL 0040965A

及时战报？

不是，早上在DCM看到了就到oep了。刚才翻了一下聊天记录。

回了就隐身！why?

恒隐身:D

开头不要杀花，有个校验和解码，这是它的hash

CRC32                proc
                pushad
                mov        esi, eax
                mov        edi, ecx
                cld
                xor        ecx, ecx
                dec        ecx
                mov        edx, ecx

loc_B:                                                        ; CODE XREF: CRC32+34j
                xor        eax, eax
                xor        ebx, ebx
                lodsb
                xor        al, cl
                mov        cl, ch
                mov        ch, dl
                mov        dl, dh
                mov        dh, 8

loc_1A:                                                        ; CODE XREF: CRC32+2Dj
                shr        bx, 1
                rcr        ax, 1
                jnb        short loc_2B

                xor        ax, 8320h
                xor        bx, 0EDB8h

loc_2B:                                                        ; CODE XREF: CRC32+20j
                dec        dh
                jnz        short loc_1A

                xor        ecx, eax
                xor        edx, ebx
                dec        edi
                jnz        short loc_B

                not        edx
                not        ecx
                mov        eax, edx
                rol        eax, 10h
                mov        ax, cx
                mov        [esp+1Ch], eax
                popad
                retn

CRC32                endp:D

用它加试着给几个文件加了壳,怎么都不能运行啊

00406B07就是oep了?用ImportREC无法找到输入表啊
想顺着一个api调用而找到一串这个
004095AC  - FF25 C8053C00    jmp dword ptr ds:[3C05C8]
004095B2  - FF25 7E053C00    jmp dword ptr ds:[3C057E]
004095B8  - FF25 34053C00    jmp dword ptr ds:[3C0534]
004095BE  - FF25 EA043C00    jmp dword ptr ds:[3C04EA]
004095C4  - FF25 A0043C00    jmp dword ptr ds:[3C04A0]
004095CA  - FF25 56043C00    jmp dword ptr ds:[3C0456]
004095D0  - FF25 0C043C00    jmp dword ptr ds:[3C040C]
004095D6  - FF25 C2033C00    jmp dword ptr ds:[3C03C2]
004095DC  - FF25 78033C00    jmp dword ptr ds:[3C0378]
004095E2  - FF25 2E033C00    jmp dword ptr ds:[3C032E]
004095E8  - FF25 E4023C00    jmp dword ptr ds:[3C02E4]
004095EE  - FF25 50023C00    jmp dword ptr ds:[3C0250]
004095F4  - FF25 06023C00    jmp dword ptr ds:[3C0206]
004095FA  - FF25 BC013C00    jmp dword ptr ds:[3C01BC]
00409600  - FF25 72013C00    jmp dword ptr ds:[3C0172]
00409606  - FF25 9A023C00    jmp dword ptr ds:[3C029A]
0040960C  - FF25 DE003C00    jmp dword ptr ds:[3C00DE]
00409612  - FF25 94003C00    jmp dword ptr ds:[3C0094]
00409618  - FF25 4A003C00    jmp dword ptr ds:[3C004A]
0040961E  - FF25 00003C00    jmp dword ptr ds:[3C0000]
00409624  - FF25 28013C00    jmp dword ptr ds:[3C0128]
0040962A  - FF25 40093C00    jmp dword ptr ds:[3C0940]
00409630  - FF25 8A093C00    jmp dword ptr ds:[3C098A]
00409636  - FF25 D4093C00    jmp dword ptr ds:[3C09D4]
0040963C  - FF25 1E0A3C00    jmp dword ptr ds:[3C0A1E]
00409642  - FF25 680A3C00    jmp dword ptr ds:[3C0A68]
00409648  - FF25 12063C00    jmp dword ptr ds:[3C0612]
0040964E  - FF25 FC0A3C00    jmp dword ptr ds:[3C0AFC]
00409654  - FF25 460B3C00    jmp dword ptr ds:[3C0B46]
0040965A  - FF25 900B3C00    jmp dword ptr ds:[3C0B90]
00409660  - FF25 F6083C00    jmp dword ptr ds:[3C08F6]
00409666  - FF25 AC083C00    jmp dword ptr ds:[3C08AC]
0040966C  - FF25 62083C00    jmp dword ptr ds:[3C0862]
00409672  - FF25 18083C00    jmp dword ptr ds:[3C0818]
00409678  - FF25 CE073C00    jmp dword ptr ds:[3C07CE]
0040967E  - FF25 84073C00    jmp dword ptr ds:[3C0784]
00409684  - FF25 3A073C00    jmp dword ptr ds:[3C073A]
0040968A  - FF25 F0063C00    jmp dword ptr ds:[3C06F0]
00409690  - FF25 A6063C00    jmp dword ptr ds:[3C06A6]
00409696  - FF25 5C063C00    jmp dword ptr ds:[3C065C]
0040969C  - FF25 DA0B3C00    jmp dword ptr ds:[3C0BDA]
004096A2  - FF25 240C3C00    jmp dword ptr ds:[3C0C24]
004096A8  - FF25 B80C3C00    jmp dword ptr ds:[3C0CB8]
004096AE  - FF25 6E0C3C00    jmp dword ptr ds:[3C0C6E]

随便进入一个走到这样
003C060B    F0:0FC7C8        lock cmpxchg8b eax                 ; Illegal use of register
一句后就走不了了.
始终没能找到正常的输入表

.

Game

:D

附件:UnPacked.rar

最初由 clide2000 发布
用它加试着给几个文件加了壳,怎么都不能运行啊

00406B07就是oep了?用ImportREC无法找到输入表啊

这个东东在WIn9X系统上加壳后无法运行
应该是bug了

收货，IDA伺候。

最初由 forgot 发布
收货，IDA伺候。

最初由 forgot 发布
收货，IDA伺候。

记着顺手修正win9x平台上加壳后无法运行的bug

没98，悲哀

虚拟机伺候

搞定了！fly 真快枪手

哎，找不到输入表。:(

最初由 jingulong 发布
搞定了！fly 真快枪手

不快了
exetools已经有人发布了 :)

入口好找，但IAT修复难。

最初由 fly 发布



这个东东在WIn9X系统上加壳后无法运行
应该是bug了

不,我是在winxp_sp1下加壳的

WinXP 上可以正常加壳

Alex Protector V1.0 脱壳――alexprot.exe 主程序
http://bbs.pediy.com/showthread.php?s=&threadid=5864

最初由 csjwaman 发布
入口好找，但IAT修复难。

就是。。。希望看到此壳IAT的修复的讲解。。。