小弟手上有个Armadillo 加壳的外挂，看的Armadillo 脱壳教程也不算少了，可是怎么也脱不掉，关键是找不到 magic jump。。。。实在太郁闷了
先bp OpenMutexA，然后在401000键入欺骗代码。
之后he GetModuleHandleA下断时，堆栈如下:
0012FF38   004B6ED8  /CALL 到 GetModuleHandleA 来自 loginTJ2.004B6ED2
0012FF3C   00000000  \pModule = NULL
0012FF40   00000000
0012FF44   00141F1C

*******************************************
0012BB90   004ABB4B  /CALL 到 GetModuleHandleA 来自 loginTJ2.004ABB45
0012BB94   00000000  \pModule = NULL
0012BB98   0012FF2C
0012BB9C   00000000

*******************************************
0012BCB0   004A59E6  /CALL 到 GetModuleHandleA
0012BCB4   00000000  \pModule = NULL
0012BCB8   0012FF2C
0012BCBC   00000000

*******************************************
0012BB70   600043AC  /CALL 到 GetModuleHandleA 来自 kmon.600043A6
0012BB74   600603E0  \pModule = "ntdll.dll"
0012BB78   00000084

*******************************************
00129E08   7C81FD9F  /CALL 到 GetModuleHandleA 来自 kernel32.7C81FD9A
00129E0C   00000000  \pModule = NULL
00129E10   003C5FF0
00129E14   00000000
看调用GetModuleHandleA 的位置，要么在code段中调用，要么是系统领空，根本没在壳中代码出现过。而更莫名的事情在后头。
在4A6D8B之后连续出现3个 call GetModuleHandleA感觉很莫名，网上的教程上没提到过
004A6D83   > \6A 00         push    0                                ; /pModule = NULL
004A6D85   .  FF15 34C04C00 call    [<&KERNEL32.GetModuleHandleA>]   ; \GetModuleHandleA
004A6D8B   .  8985 1CFFFFFF mov     [ebp-E4], eax
004A6D91   .  8B85 1CFFFFFF mov     eax, [ebp-E4]
004A6D97   .  8B8D 1CFFFFFF mov     ecx, [ebp-E4]
004A6D9D   .  0348 3C       add     ecx, [eax+3C]
004A6DA0   .  898D 00FEFFFF mov     [ebp-200], ecx
004A6DA6   .  6A 00         push    0                                ; /pModule = NULL
004A6DA8   .  FF15 34C04C00 call    [<&KERNEL32.GetModuleHandleA>]   ; \GetModuleHandleA
004A6DAE   .  8B95 00FEFFFF mov     edx, [ebp-200]
004A6DB4   .  0342 28       add     eax, [edx+28]
004A6DB7   .  8945 C4       mov     [ebp-3C], eax
004A6DBA   .  6A 00         push    0                                ; /pModule = NULL
004A6DBC   .  FF15 34C04C00 call    [<&KERNEL32.GetModuleHandleA>]   ; \GetModuleHandleA

这段代码也在code段中，之后再f9程序就跑起来了。。。。
程序中GetModuleHandleA一共就调用了这几次，我曾经每个调用的位置都仔细察看了下，没发现有magic jump的任何迹象。
断断续续想了很久了，一直想不出来为什么。还有我想过，难道因为我的系统是xp sp3,是不是会有所影响。。。。系统函数调用之类的会有所改变？
球高手帮下忙。。。。
还有，上传文件求脱壳会不会锁贴之类的。。。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课