OD手脱UPX壳
OD手脱UPX壳
用OD脱壳的方法有很多：ESP定律，内存镜像法，等等可参看：
https://1094093288.github.io/2018/07/25/DROPS%E7%AC%AC%E4%BA%8C%E5%91%A8%E5%91%A8%E4%B8%89/#more
今天我用ESP定律脱带壳的程序，用PEID查一下：
1.先单步F7， ###当ESP变红的时候，右键“在数据窗口跟随”，在数据敞口选择以“00”,右击“断点”-》“硬件断点”-》“byte”
2.在“调试”-》“硬件断点”-》确定
3.运行程序，单击小三角，运行到这，有一个大跳转
4.单步走，很快就到OEP：
5.删除断点
6.反汇编窗口右键-》“OllyDump脱壳调试进程”-》“脱壳”
保存之后，关键就来了，程序在PEID上显示没有壳了，但是程序始终运行不了
在网上查了很多资料，说要修复程序，修复程序的IAT表，我就按着教程来，先随便到一个call函数，数据窗口跟随－》“内存地址”，数据窗口右键－》长型－》地址：
IAT导入表是地址连续的，开头是从00000开始，结束也是00000结束，可以算出他的size：尾-头
用importREC修改完IAT后，发现仍然运行不了
用网上的方法import REC修改RVA size 总是报有错误的指针，然后和源程序比较了一下IAT表，发现dump出来IAT表比原本的IAT表少了很多，
这可能是dump不对，不知道为啥少了一部分IAT表，导致运行不了，看了很多资料还是解决不了，最后想着用XP系统试一下吧，结果脱完壳之后果然可以正常运行！
哎！真的是没脾气，以后OD还是多在XP下用吧！可能是兼容性的问题！
脱壳后可能需要修复IAT，可参考：