先贴个查themida版本的脚本(可查DLL,刚看Kissy的录象学的呵呵):
var tmp
var tmpbp
bc
BPHWCALL                              
gpa "LoadLibraryA", "kernel32.dll"
mov tmpbp,$RESULT
cmp tmpbp,0
je  exit
bphws tmpbp ,"x"
loop:
esto
mov tmp,[esp+04]
cmp [tmp],"NTDLL"            //为NTDLL的时候themida段解压完成
jnz loop                           
bphwc tmpbp
rtu
GMEMI eip, MEMORYBASE
mov tmp,$RESULT
BPHWCALL
find tmp,#000004000000322E#          //特征码
cmp $RESULT,0
jz next
jmp message
next:
find tmp,#000004000000312E#          //特征码
cmp $RESULT,0
jz exit
message:
mov tmp,$RESULT
mov verStr,"Themida/winlicense version: "
add tmp,6
READSTR [tmp],5
add verStr,$RESULT
msg verStr
exit:
ret

OD载入DLL，停在入口
1021A000 >  83EC 04         sub     esp, 4   //////此处下硬件执行端点
1021A003    50                push    eax
1021A004    53              push    ebx
1021A005    E8 01000000     call    1021A00B
1021A00A    CC              int3
1021A00B    58              pop     eax
1021A00C    8BD8            mov     ebx, eax
1021A00E    40              inc     eax
1021A00F    2D 00601300     sub     eax, 136000
1021A014    2D EFDF6000     sub     eax, 60DFEF
1021A019    05 E4DF6000     add     eax, 60DFE4
1021A01E    803B CC         cmp     byte ptr [ebx], 0CC
1021A021    75 19           jnz     short 1021A03C
1021A023    C603 00         mov     byte ptr [ebx], 0
1021A026    BB 00100000     mov     ebx, 1000
1021A02B    68 5401E762     push    62E70154
1021A030    68 34175C6E     push    6E5C1734
1021A035    53              push    ebx
1021A036    50              push    eax
1021A037    E8 0A000000     call    1021A046
1021A03C    83C0 14         add     eax, 14
1021A03F    894424 08       mov     dword ptr [esp+8], eax
1021A043    5B              pop     ebx
1021A044    58              pop     eax
1021A045    C3              retn
下完硬断直接点F9运行，再关闭Loaddll窗口，断在壳入口，F7走，没几步就到OEP
100E7563    68 BA3F0A10     push    100A3FBA
100E7568    833C24 00       cmp     dword ptr [esp], 0
100E756C    75 09           jnz     short 100E7577
100E756E    83C4 04         add     esp, 4
100E7571    B8 01000000     mov     eax, 1
100E7576    C3              retn
OEP：
100A3FBA   .  837C24 08 01  cmp     dword ptr [esp+8], 1
100A3FBF   .  75 05         jnz     short 100A3FC6
100A3FC1   .  E8 70030000   call    100A4336
100A3FC6   >  FF7424 04     push    dword ptr [esp+4]
100A3FCA   .  8B4C24 10     mov     ecx, dword ptr [esp+10]
100A3FCE   .  8B5424 0C     mov     edx, dword ptr [esp+C]
100A3FD2   .  E8 CDFEFFFF   call    100A3EA4
100A3FD7   .  59            pop     ecx
100A3FD8   .  C2 0C00       retn    0C
100A3FDB   $  6A 14         push    14
100A3FDD   .  68 50300C10   push    100C3050
100A3FE2   .  E8 85010000   call    100A416C
100A3FE7   .  8365 FC 00    and     dword ptr [ebp-4], 0
100A3FEB   >  FF4D 10       dec     dword ptr [ebp+10]
100A3FEE   .  78 3A         js      short 100A402A
100A3FF0   .  8B4D 08       mov     ecx, dword ptr [ebp+8]
100A3FF3   .  2B4D 0C       sub     ecx, dword ptr [ebp+C]
100A3FF6   .  894D 08       mov     dword ptr [ebp+8], ecx
100A3FF9   .  FF55 14       call    dword ptr [ebp+14]

右键查找->所有模块间的调用,点几个地址一看，调用方法分2种
一种从输入表取地址
10007B37  |.  8B1D B8600A10 mov     ebx, dword ptr [100A60B8]                 ;  kernel32.InterlockedDecrement
10007B3D  |.  74 0E         je      short 10007B4D
10007B3F  |.  57            push    edi                                       ; /pVar
10007B40  |.  FFD3          call    ebx                                       ; \InterlockedDecrement

另一种直接调用地址
100499B2    6A 00           push    0
100499B4    6A 00           push    0
100499B6    51              push    ecx
100499B7    90              nop
100499B8    E8 381CCD67     call    USER32.InvalidateRect  //call    77D1B5F5
100499BD    85C0            test    eax, eax
后一种显然不行，DLL会重定位。看来需要处理下输入表。
数据窗口看下现成的输入表，Cltr G 100A60B8, 上下拉一下100A60B8，明显是个连续的输入表
猜测应该是个完整的输入表吧（可以随便找一个 下硬件写入断点跟到输入表处理）。
我懒，也看不明白TMD具体怎么处理的输入表，干脆就拿这个完整的输入表修复那些直接调用的地址。先把这个输入表保存一份 从100A6000~100A6720
找个直接调用的地址 100499B9 下硬件写入断点 重新载入2次断下后断在地址写入：

10205D81    8847 04         mov     byte ptr [edi+4], al
10205D84    8B85 E918100A   mov     eax, dword ptr [ebp+A1018E9]
10205D8A    2BC7            sub     eax, edi
10205D8C    83E8 04         sub     eax, 4
10205D8F    AB              stos    dword ptr es:[edi] ///此处EDI既是100499B9
10205D90    AD              lods    dword ptr [esi]
10205D91    C746 FC 0000000>mov     dword ptr [esi-4], 0
这里就是直接写调用地址的地方。
删除原来的断点，重新载入DLL，在10205D90， OEP：100A3FBA 下硬件执行断点
F9执行到10205D90断下， 此时100A6000的内容还是空的，把原来保存的输入表复制过来
到这里就可以写个脚本：
var iattmp
var tmp
next:
cmp eip, 10205D90  ////断在OEP就结束
jnz out
mov tmp, 100A6000   ///从保存的完整输入表里搜索
mov iattmp,eax
add iattmp,edi
cmp iattmp,XXXXXXX ///DLL起始地址 保证是输入函数
jb   loopiat:
cmp iattmp,XXXXXXX////DLL模块末地址
jb   nexttmp
loopiat:
cmp iattmp, [tmp]
jnz iatadd
sub edi,6
repl edi, #90E9#, #FF25#, 2    ///替换成输入表的形式CALL [100A6XXX]
repl edi, #90E8#, #FF15#, 2
add edi,2
mov [edi],tmp
add edi,4
esto
jmp nexttmp

iatadd:
add tmp,4
cmp tmp, 100A6720
jnz loopiat
nexttmp:
esto
jmp next

msg "!!!!!!"
out:
pause

跑这个脚本，够慢的， 哈哈 刚学 不会写。
最后停到OEP LordPE->loaddll, ImportREC pickdll修复输入表。

完工了一大半了，最后重定位吧。
找个带固定地址的地方，就开头吧
10001000   .  8BC1          mov     eax, ecx
10001002   .  C700 90670A10 mov     dword ptr [eax], 100A6790
10001008   .  C3            retn

在10001004下硬件写入断点，2次断下后断在
101F7AF5   /0F84 81000000   je      101F7B7C
101F7AFB   |81E3 FF0F0000   and     ebx, 0FFF
101F7B01   |03D8            add     ebx, eax
101F7B03   |83BD 351F100A 0>cmp     dword ptr [ebp+A101F35], 0  ////此处EBX为需要重定位的地址
101F7B0A   |0F84 1B000000   je      101F7B2B
101F7B10   |807B FF C5      cmp     byte ptr [ebx-1], 0C5
101F7B14   |0F85 11000000   jnz     101F7B2B
101F7B1A   |83BD C128100A 0>cmp     dword ptr [ebp+A1028C1], 0
101F7B21   |0F84 04000000   je      101F7B2B
101F7B27   |C643 FF E9      mov     byte ptr [ebx-1], 0E9
101F7B2B   |807B FE C5      cmp     byte ptr [ebx-2], 0C5
101F7B2F   |0F85 19000000   jnz     101F7B4E
101F7B35   |807B 03 90      cmp     byte ptr [ebx+3], 90
101F7B39   |0F85 0F000000   jnz     101F7B4E
101F7B3F   |C643 FE E9      mov     byte ptr [ebx-2], 0E9
101F7B43   |0F84 33000000   je      101F7B7C
101F7B49   |E9 1E000000     jmp     101F7B6C
101F7B4E   |807B FE CC      cmp     byte ptr [ebx-2], 0CC
101F7B52   |0F85 14000000   jnz     101F7B6C
101F7B58   |807B 03 90      cmp     byte ptr [ebx+3], 90
101F7B5C   |0F85 0A000000   jnz     101F7B6C
101F7B62   |C643 FE E8      mov     byte ptr [ebx-2], 0E8
101F7B66   |0F84 10000000   je      101F7B7C
101F7B6C   |813B 90909090   cmp     dword ptr [ebx], 90909090
101F7B72   |0F84 04000000   je      101F7B7C
101F7B78   |2933            sub     dword ptr [ebx], esi    ///断在这
101F7B7A   |013B            add     dword ptr [ebx], edi                      ; CrySyste.10000000
101F7B7C   \83C1 02         add     ecx, 2
101F7B7F    83EA 02         sub     edx, 2

这里要在上面注释的地方补丁，不然上面处理的输入表没法重定位了。在101F7B03jmp 打个补丁就行了..有点要注意，有的DLL比较大，HideOd分配的内存不够用，需要改下HideOd VirtualAlloc分配的大小。最后Loadpe加个差不多大的区段， 把重定位的补丁加进去，ReloREC修复下OK了。

中间出现异常结束程序基本就是OD没藏好。可能隐藏插件有兼容性，我2台电脑同样设置，一台没问题，另一台总是时不时异常。我开始还以为什么anti，搞的我郁闷了2天，换台电脑才脱了。

是国外某游戏的DLL，连接不放了。

初次学习脱壳，失误难免。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课