手脱PEncrypt 4.0

1.载入PEID

PEncrypt 4.0 Gamma / 4.0 Phi -> junkcode [Overlay]

2.载入OD，没什么头绪，忽略所有异常，用最后一次异常法shift+F9运行两次，因为第三次会跑飞，所以运行两次，另外这个壳使用单步太费劲了，一不小心就跑飞了，所以直接使用的最后一次异常法进行脱壳的

 >  FC              cld                               ; //入口点
    FC              cld
    FC              cld
                  nop
  - E9 BDBA0000     jmp PEncrypt.0040CAC6
  - E3 D5           jecxz short PEncrypt.00400FE0
0040100B     4F           add al,0x4F
0040100D  -  A4           je short PEncrypt.00400FB3
0040100F    D248          ror byte ptr ds:[eax+0x74],cl

3.最后一次异常法的落脚点，落脚后，右键—转到—表达式—输入SE句柄(也叫SE处理程序)”0040CCD7”—回车

0040CCD0    9D              popfd
0040CCD1                  nop
0040CCD2    4B              dec ebx                           ; //最后一次异常法落脚点
0040CCD3    6F              outs dx,dword ptr es:[edi]
0040CCD4              arpl word ptr ds:[eax+0x69],bp
0040CCD7    8B4424        mov eax,dword ptr ss:[esp+0x4]
0040CCDB    8B00            mov eax,dword ptr ds:[eax]
0040CCDD    3D      cmp eax,0x80000004

0012FF88   0040CCD7  SE处理程序

4.回车后的位置，然后F2,SHIFT+F9，F2，也就是让程序运行到转到的位置上，然后继续F8，F8过程中，记得在向上跳转的下一行F4，也就是让程序运行到向上跳转的下一行，这是脱壳的基本原则，尽量不让程序往回跳

0040CCD3    6F              outs dx,dword ptr es:[edi]
0040CCD4              arpl word ptr ds:[eax+0x69],bp
0040CCD7    8B4424        mov eax,dword ptr ss:[esp+0x4]    ; //回车的位置
0040CCDB    8B00            mov eax,dword ptr ds:[eax]
0040CCDD    3D      cmp eax,0x80000004
0040CCE2                je short PEncrypt.0040CCEA
0040CCE4    4B              dec ebx

5.找到关键跳，指向OEP的关键跳

0040CD26    9D              popfd
0040CD27                  popad
0040CD28    BD CC104000     mov ebp,PEncrypt.004010CC
0040CD2D  - FFE5            jmp ebp                           ; //指向OEP的关键跳
0040CD2F                add byte ptr ds:[eax],al
0040CD31                add byte ptr ds:[eax],al
0040CD33                add byte ptr ds:[eax],al

6.来到OEP，进行脱壳，需要注意的是脱壳后无法正常运行，需要使用loadPE重建PE表才可以正常运行

004010CC                  push ebp                          ; PEncrypt.004010CC
004010CD    8BEC            mov ebp,esp
004010CF    83EC          sub esp,0x44
004010D2                  push esi
004010D3    FF15 E4634000   call dword ptr ds:[<&KERNEL32.Get>; kernel32.GetCommandLineA
004010D9    8BF0            mov esi,eax
004010DB    8A00            mov al,byte ptr ds:[eax]
004010DD    3C            cmp al,0x22
004010DF     1B           jnz short PEncrypt.004010FC

7.运行查壳

运行OK，查壳：Microsoft Visual C++ v6.0 SPx