这个壳据说是很菜很菜的。。。网上找了几个脱壳机都脱不了。于是试试手脱。可是还是问题大大。。。
ASPack 2.12壳脱壳后，用ImportREC修复IAT。仍然无法使用。错在哪里了呢？

脱壳过程：

OD载入

00436001 >  60              pushad          //载入停在这里,F8下一步
00436002    E8 03000000     call    0043600A       //应用ESP定律脱壳,dd 0012ffa4,下硬件,字断点,F9运行程序
......................
004363B0   /75 08           jnz     short 004363BA      //停在这里,F8继续往下走
004363B2   |B8 01000000     mov     eax, 1
004363B7   |C2 0C00         retn    0C
004363BA   \68 9F384000     push    0040389F
............................
0040389F    55              push    ebp  //就到这里了,dump出来，再用ImportREC修复。
============================

ImportREC载入进程

我认为ope为：0000389F，自动查找IAT提示可能发现原始IAT,确定，获取输入表。

分析进程...
模块已载入: c:\windows\system32\ntdll.dll
模块已载入: c:\windows\system32\kernel32.dll
模块已载入: c:\windows\system32\user32.dll
模块已载入: c:\windows\system32\gdi32.dll
模块已载入: c:\windows\system32\imm32.dll
模块已载入: c:\windows\system32\advapi32.dll
模块已载入: c:\windows\system32\rpcrt4.dll
模块已载入: c:\windows\system32\lpk.dll
模块已载入: c:\windows\system32\usp10.dll
模块已载入: c:\windows\system32\msvcrt.dll
获取关联模块完成.
镜像基址:00400000 大小:00039000
原始 IAT RVA 发现于: 00007048 位于块 RVA: 00007000 大小:00001000
IAT 读取成功.
rva:00007034 来自模块:ntdll.dll 序号:0234 名称:RtlAllocateHeap         
rva:00007038 来自模块:ntdll.dll 序号:0203 名称:RtlFreeHeap         
rva:00007068 来自模块:ntdll.dll 序号:036B 名称:RtlReAllocateHeap         
rva:00007098 来自模块:ntdll.dll 序号:015F 名称:RtlUnwind         
---------------------------------------------------------------------------------------------------------------------------
当前输入表:
2 (十进制:2) 个有效模块 (已添加: +2 (十进制:+2))
2E (十进制:46) 个输入函数. (已添加: +2E (十进制:+46))

转存以后仍然无法运行。。。。。。。。
提示：
Invalid data in the file!

另外我发现源文件有1M多，“脱掉”以后才229K了。。。是不是有问题呢？

附件如下：

dumped

creakme

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！