【脱文标题】脱不知名狗壳
【脱文作者】 lfsx
【使用工具】 Ollydbg,LoadPe,Imprec1.42,
【破解平台】 WinXP
【软件名称】 VOD点播系统
【下载地址】 网上自己找
006E71EB > E8 00000000 CALL karaokD.006E71F0 //OD载入停在这
006E71F0 5B POP EBX // F8
006E71F1 81EB 38124000 SUB EBX,karaokD.00401238
006E71F7 FF3424 PUSH DWORD PTR SS:[ESP]
006E71FA E8 31FEFFFF CALL karaokD.006E7030
006E71FF 0BC0 OR EAX,EAX
直接对0012FFC0下硬件写入断点，F9运行。（注意硬件中断）
006E71FA E8 31FEFFFF CALL karaokD.006E7030 //断在这里,继续F9
006E71FF 0BC0 OR EAX,EAX
006E7201 75 02 JNZ SHORT karaokD.006E7205
006E7203 EB 7E JMP SHORT karaokD.006E7283
006E7205 8983 A5114000 MOV DWORD PTR DS:[EBX+4011A5],EAX
006E720B 8D83 C6114000 LEA EAX,DWORD PTR DS:[EBX+4011C6]
006E7212 FFB3 A5114000 PUSH DWORD PTR DS:[EBX+4011A5] ; kernel32.77E40000
//断在这里,继续F9
006E7218 E8 8DFEFFFF CALL karaokD.006E70AA
006E721D 0BC0 OR EAX,EAX
006E721F 75 02 JNZ SHORT karaokD.006E7223
006E7221 EB 60 JMP SHORT karaokD.006E7283
006E7223 8983 AD114000 MOV DWORD PTR DS:[EBX+4011AD],EAX
006E7229 8D83 B9114000 LEA EAX,DWORD PTR DS:[EBX+4011B9]
006E722F 50 PUSH EAX
006E7230 FFB3 A5114000 PUSH DWORD PTR DS:[EBX+4011A5] ; kernel32.77E40000
//断在这里,继续F9
006E7236 FF93 AD114000 CALL DWORD PTR DS:[EBX+4011AD]
006E723C 8983 B1114000 MOV DWORD PTR DS:[EBX+4011B1],EAX
006E7242 8D83 E8114000 LEA EAX,DWORD PTR DS:[EBX+4011E8]
006E7248 50 PUSH EAX
77F5F892 A1 5046FC77 MOV EAX,DWORD PTR DS:[77FC4650] //断在这里,继续F9
77F5F897 85C0 TEST EAX,EAX
77F5F899 74 03 JE SHORT ntdll.77F5F89E
77F5F89B 51 PUSH ECX
77F5F89C FFD0 CALL EAX
77F5F89E 834D FC FF OR DWORD PTR SS:[EBP-4],FFFFFFFF
77F5F8A2 E8 0B000000 CALL ntdll.77F5F8B2
006E7249 FF93 B1114000 CALL DWORD PTR DS:[EBX+4011B1] ; kernel32.LoadLibraryA // 停在这
006E724F 0BC0 OR EAX,EAX
006E7251 75 01 JNZ SHORT karaokD.006E7254 //这个跳要跳，改Z标志为0，F8
006E7253 |C3 RETN
006E7254 \8983 E4114000 MOV DWORD PTR DS:[EBX+4011E4],EAX
006E725A 8D83 F6114000 LEA EAX,DWORD PTR DS:[EBX+4011F6]
006E7260 50 PUSH EAX
006E7261 FFB3 E4114000 PUSH DWORD PTR DS:[EBX+4011E4]
006E7267 FF93 AD114000 CALL DWORD PTR DS:[EBX+4011AD]
006E726D 0BC0 OR EAX,EAX
006E726F 75 01 JNZ SHORT karaokD.006E7272 //这个跳要跳，改Z标志为0，F8
006E7271 C3 RETN
006E7272 8983 DC114000 MOV DWORD PTR DS:[EBX+4011DC],EAX
006E7278 FF93 DC114000 CALL DWORD PTR DS:[EBX+4011DC] //这里NOP掉，F8
006E727E 0BC0 OR EAX,EAX
006E7280 74 01 JE SHORT karaokD.006E7283 //跳
006E7282 C3 RETN
006E7283 - E9 7426E0FF JMP karaokD.004E98FC //飞向光明
004E98FC . 55 PUSH EBP //OEP
004E98FD . 8BEC MOV EBP,ESP
004E98FF . 83C4 F0 ADD ESP,-10
004E9902 . 53 PUSH EBX
004E9903 . B8 2C954E00 MOV EAX,karaokD.004E952C
004E9908 . E8 67D5F1FF CALL karaokD.00406E74
004E990D . 8B1D C4D14E00 MOV EBX,DWORD PTR DS:[4ED1C4] ; karaokD.004EEC2C
004E9913 . 8B03 MOV EAX,DWORD PTR DS:[EBX]
004E9915 . E8 6E3FF7FF CALL karaokD.0045D888
运行lordpe，选择这个进程，纠正映象大小后完全DUMP，打开Import REC,选择这个进程。OEP处填上E98FC，点“自动搜索IAT”-->“获得输入信息”，得到全部有效的函数，Fix Dump完成了，运行一下，完全正常，现在你已经脱掉这个壳了~！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
