手脱nSPack 2.1 - 2.5

1.载入PEID

使用核心扫描出的结果

nSPack 2.1 - 2.5 -> North Star/Liu Xing Ping

2.载入OD，一进来就是一个大跳转，F8跟着走

 >- E9 327E0000     jmp Aspack变.0041877B              ; //程序入口点
    C7              ???
0041094A    4E              dec esi
0041094B    FFC3            inc ebx
0041094D    FFFF            ???
0041094F    EB 0A           jmp short Aspack变.0041095B
    E8 40FFFF94     call
    FD              std

3.走到这里，看到一个push入栈，下一行ESP定律，下硬件断点，然后shift+F9运行

0041877B          push Aspack变.
    E8 84FEFFFF     call Aspack变.             ; //ESP
                  inc ecx
    A4              movs byte ptr es:[edi],byte ptr d>
                add byte ptr ds:[eax],bl
     3C           adc al,0x3C
0041878B    38041C          cmp byte ptr ss:[esp+ebx],al

4.落脚后记得删除硬件断点继续F8，看到一个向上跳转，按照常规思维是向上跳转的下一行F4，但是这样会跑飞，再按照常规思维是继续F8让这个向上跳转实现，但是实现后你会发现你继续F8的时候实际上是陷入了一个循环，那么我们要做的是在这个跳转的位置下断点F2，然后shift+F9运行，像最后一次异常法一样，找到最后一次异常。是第57次，58次就跑飞了

0041861B    89E5            mov ebp,esp                       ; //ESP落脚点
0041861D    81EC C0000000   sub esp,0xC0
    89E7            mov edi,esp
              add esi,dword ptr ss:[ebp]
    8A06            mov al,byte ptr ds:[esi]
0041862A                  inc esi                           ; Aspack变.
0041862B    0FB6C0          movzx eax,al
0041862E  ^ FF2485 2B814100 jmp dword ptr ds:[eax*+0x41812B] ; //下一行会跑飞
    :8B45       mov ax,word ptr ss:[ebp]

5.shift+F9运行57次后取消断点，然后F8一次就落到了这里，你会发现，原先跟上去的时候会陷入的循环，现在没有了，然后继续F8

004185FC    89EC            mov esp,ebp                       ; //落脚点
004185FE    5A              pop edx
004185FF    5A              pop edx
    5D              pop ebp
                  pop ecx
    9D              popfd
                  pop eax

6.F8走到这里的时候，我们发现一个pushad，可以使用ESP定律了，下硬件断点，然后shift+F9运行

00410B19    9C              pushfd
00410B1A                  pushad
00410B1B    E8      call Aspack变.00410B20             ; //ESP
00410B20    5D              pop ebp
00410B21    81ED DC010000   sub ebp,0x1DC
00410B27  ^ E9 34FEFFFF     jmp Aspack变.

7.ESP落脚点，删除硬件断点，然后继续F8

00410B7C    9D              popfd                             ; //落脚点
00410B7D    EB 4E           jmp short Aspack变.00410BCD
00410B7F    F4              hlt
00410B80    FD              std
00410B81    FFFF            ???
00410B83    8BDD            mov ebx,ebp
00410B85    81EB    sub ebx,0x8

8.经过几次F8之后倒了这里，这个就是指向OEP的关键跳了，F8一下

00410BCD  - E9 EE16FFFF     jmp Aspack变.004022C0              ; //指向OEP的关键跳
00410BD2    8BB5 48FDFFFF   mov esi,dword ptr ss:[ebp-0x2B8]
00410BD8    0BF6            or esi,esi
00410BDA    0F84    je Aspack变.00410C77
00410BE0    8B95 50FDFFFF   mov edx,dword ptr ss:[ebp-0x2B0]
00410BE6    03F2            add esi,edx      

9.来到OEP，可以脱壳了，需要注意的是，脱壳后需要使用LoadPE重建PE表才能正常运行

004022C0    E8 970B0000     call Aspack变.00402E5C             ; //OEP
004022C5    E8 C60A0000     call Aspack变.00402D90
004022CA    8BF0            mov esi,eax
004022CC    6A            push 0x0
004022CE     B3534000     push Aspack变.004053B3
004022D3                  push esi
004022D4    E8 570D0000     call Aspack变.
004022D9    A2 F7594000     mov byte ptr ds:[0x4059F7],al
004022DE    6A            push 0x0
004022E0     BA534000     push Aspack变.004053BA 

10.运行，查壳

运行OK，查壳：TASM / MASM (312 ms)