手脱Upack 2.x - 3.x

1.PEID查壳

Upack 2.x - 3.x Heuristic Mode -> Dwing

2.载入OD，一上来就是一个大跳转，先F8跟一会

 >- E9 56D40300     jmp 跑跑排行.0043E48B                 ; //程序入口点
                  inc edx                           ; 跑跑排行.<ModuleEntryPoint>
                jns short 跑跑排行.0040107C
                ja short 跑跑排行.004010A3
0040103A    6E              outs dx,byte ptr es:[edi]
0040103B    :           inc eax                           ; kernel32.BaseThreadInitThunk
0040103D                add byte ptr ds:[eax],al

3.来到这里，我们看到一个push，可以使用ESP定律，下硬件访问断点，然后shift+F9运行一下

0043E49B    F3:AB           rep stos dword ptr es:[edi]
0043E49D    AD              lods dword ptr ds:[esi]
0043E49E                  push eax
0043E49F                  xchg eax,edi                      ; //ESP定律
0043E4A0                  push ecx
0043E4A1                  pop eax
0043E4A2    8D5485 5C       lea edx,dword ptr ss:[ebp+eax*+>

4.ESP落脚点，这里就是落脚点了，别忘了清除硬件断点，然后继续F8，记住基本原则，向上跳转的下一行F4

0043E60E   /E3 1B           jecxz short 跑跑排行.0043E62B         ; //ESP落脚点
0043E610   |8A07            mov al,byte ptr ds:[edi]
0043E612   |              inc edi
0043E613   |            add al,0x18
0043E615   |3C            cmp al,0x2
0043E617  ^| F7           jnb short 跑跑排行.0043E610           ; //向上跳转的下一行F4
0043E619   |8B07            mov eax,dword ptr ds:[edi]
0043E61B   |3C            cmp al,0x1

5.经常脱壳的朋友应该发现了，这里应该就是指向OEP的关键跳转了（因为第二列中间有个横杠），但是你会发现F8跳不过去，跳转没有实现，因为跳转的上一行”or eax,eax”这句话不解释了，需要一定的汇编基础，http://www.52pojie.cn/thread-420306-1-1.html可以在这个界面对照着查一下，也许你会懂，不懂我也没办法，然后我们需要做的是在这个跳转这行右键—断点—条件—输入”eax==0”—F9—F8,这样我们就实现了他的跳转

0043E631                  inc esi
0043E632    AD              lods dword ptr ds:[esi]
0043E633    09C0            or eax,eax
0043E635 >- 0F84 E3BDFCFF   je 跑跑排行.0040A41E                  ; //指向OEP的跳转
0043E63B                  push esi
0043E63C                  xchg eax,edi
0043E63D    FF53 FC         call dword ptr ds:[ebx-0x4] 

6.来到OEP，可以脱壳了

0040A41E                  push ebp                          ; //来到OEP
0040A41F    8BEC            mov ebp,esp
0040A421    6A FF           push -0x1
0040A423     C8CB4000     push 跑跑排行.0040CBC8
0040A428     A4A54000     push 跑跑排行.0040A5A4
0040A42D    :A1   mov eax,dword ptr fs:[]
0040A433                  push eax
0040A434    : >mov dword ptr fs:[],esp
0040A43B    83EC          sub esp,0x68

7.运行，查壳

运行OK，查壳：Microsoft Visual C++ v6.0