第1次发贴呀...刚学脱壳不久...请指教...
EXECryptor V2.2X-V2.4X -> StrongBit Technology * Sign.By.fly *
在网上看到几位大虾做的一些有关这个壳的脱壳方法,脱得不是很干净...( 见谅呀...有可能是我看不出来..呵呵...),昨晚试了一下,成功了,现在分享一下,要用到下面的OD脚本
EXECryptor 2.x OEP+IAT .txt 引用脚本中的注释...网上都有,找下..
//////////////////////////////////////////////////////////////////////
// EXECryptor 2.x OEP+IAT
// -------------------------------------------------------------
// 声明：该脚本代码来自okdodo、PE_Kill二位大侠！
// 本人只是合并成一个脚本，一次完成OEP+IAT。
// 感谢他们的劳动。
//
//Test Environment : Ollyice v1.1 + HideOD v0.17   
//                   ODBGScript v1.53 under WINXP
//Thanks :
//         kanxue     - author of HideOD v0.17      
//         hnhuqiong  - author of ODbgScript v1.53
//////////////////////////////////////////////////////////////////////

好了,开始吧,我朋友给我一个外挂程式ZxTools_V3.72A,就是上面那个壳;
(1)设置OD,事件->系统断点;
(2)加载ZxTools.exe,呵呵,ntdll....没有进到Zxtools里,停在
7C921231    C3              RETN
7C921232    8BFF            MOV EDI,EDI
7C921234    90              NOP

(3)运行OD脚本,EXECryptor 2.x OEP+IAT .txt(感谢呀..这个太好用了...)

(4)弹出的"请修改IAT地址"时,点[取消],停在下面..

0064C876    E8 E262EDFF     CALL ZxTools.00522B5D       ; True or fake OEP!
0064C87B    51              PUSH ECX
0064C87C    68 0B4F1DAD     PUSH AD1D4F0B
0064C881    59              POP ECX
0064C882    81C1 52137318   ADD ECX,18731352
0064C888    81F1 60ECEB03   XOR ECX,3EBEC60
0064C88E    81C1 7F5DE739   ADD ECX,39E75D7F
0064C894    870C24          XCHG DWORD PTR SS:[ESP],ECX
0064C897  ^ E9 3313FEFF     JMP ZxTools.0062DBCF
0064C89C    C3              RETN
0064C89D  ^ E9 6F20FDFF     JMP ZxTools.0061E911
0064C8A2    E8 EF77FDFF     CALL ZxTools.00624096
0064C8A7    C2 477D         RETN 7D47
0064C8AA    C3              RETN
0064C8AB    E8 FEFFFDFF     CALL ZxTools.0062C8AE
0064C8B0    EA D9FE5734 06B>JMP FAR B006:3457FED9                    ; 远跳转
0064C8B7    C153 68 F8      RCL DWORD PTR DS:[EBX+68],0F8            ; 位移常数超出 1..31 的范围

(5)接下来一直按F8,跟到下面, 很明显的 Delphi 程式..
00507CC8    55              PUSH EBP
00507CC9    8BEC            MOV EBP,ESP
00507CCB    83C4 E4         ADD ESP,-1C
00507CCE    53              PUSH EBX
00507CCF    33C0            XOR EAX,EAX
00507CD1    8945 E8         MOV DWORD PTR SS:[EBP-18],EAX
00507CD4    8945 E4         MOV DWORD PTR SS:[EBP-1C],EAX
00507CD7    8945 EC         MOV DWORD PTR SS:[EBP-14],EAX
00507CDA    B8 F8765000     MOV EAX,ZxTools.005076F8
00507CDF    E8 50F0EFFF     CALL ZxTools.00406D34
00507CE4    33C0            XOR EAX,EAX
00507CE6    55              PUSH EBP
00507CE7    68 C67D5000     PUSH ZxTools.00507DC6
00507CEC    64:FF30         PUSH DWORD PTR FS:[EAX]
00507CEF    64:8920         MOV DWORD PTR FS:[EAX],ESP
00507CF2    A1 D4EE5000     MOV EAX,DWORD PTR DS:[50EED4]
00507CF7    8B00            MOV EAX,DWORD PTR DS:[EAX]
00507CF9    E8 D623F7FF     CALL ZxTools.0047A0D4
00507CFE    8D55 EC         LEA EDX,DWORD PTR SS:[EBP-14]
00507D01    B8 DC7D5000     MOV EAX,ZxTools.00507DDC                 ; ASCII "e0VEOEZEODc1LUI4N0ItNEE4Mi1BNUQ1LThFQjkwRTY5REEzMn0="
00507D06    E8 4526FEFF     CALL ZxTools.004EA350

(5)点"用ollydump脱壳调试进程",OK了......都用不到ImportREC...

附件上传不了,...Zxtools.exe是诛仙的外挂,网上搜下吧...

[课程]FART 脱壳王！加量不加价！FART作者讲授！