手脱FSG 2.0 -> bart/xt

声明：

只为纪录自己的脱壳历程，高手勿喷

1.在入口的第二行ESP定律下硬件断点然后F9运行8次（因为第9次就跑飞了）

0040955C >                pushad
0040955D    EB            jmp short UnPackMe.  //ESP定律F9运行8次
0040955F    625CE9 F1       bound ebx,qword ptr ds:[ecx+ebp*-0xF]
    87EB            xchg ebx,ebp
    EB            jmp short UnPackMe.0040956A
  ^ E0 BB           loopdne short UnPackMe.

2.ESP定律后的落脚点

0040B186                  push ecx        //ESP8次的落脚点，然后F8往下跟
0040B187    87D9            xchg ecx,ebx
0040B189                  inc eax
0040B18A                  dec eax
0040B18B    87D9            xchg ecx,ebx
0040B18D    83C4          add esp,0x4
0040B190    8B6C24        mov ebp,dword ptr ss:[esp+0x24] 

3.然后单步，注意点：

①带数字的CALL用F7跟进
②不带数字的CALL直接F8步过
③尽量使用F2,shift+F9，F2来下断运行，因为我常使用F4的时候会跑飞

路上需要注意的下断  地方一：

  ^\ FA           jnb short UnPackMe. //在这个跳转的下一行下断
0040017B     3A           jnz short UnPackMe.004001B7 //这是一个向下的跳转
0040017D    AA              stos byte ptr es:[edi]
0040017E  ^ EB E0           jmp short UnPackMe. //在下一行CALL下断点
    FF53          call dword ptr ds:[ebx+0x8]

路上需要注意的下断  地方二：

004001CF   /            jnz short UnPackMe.004001D4//这个向上跳转下面下断点
004001D1  -|FF63 0C         jmp dword ptr ds:[ebx+0xC] //因为这一行直接跳向OEP的
004001D4   \              push eax
004001D5                  push ebp    

4.来到OEP

                  push ebp                 //这里就是OEP
    8BEC            mov ebp,esp
    6A FF           push -0x1
          push UnPackMe.
0040170A          push UnPackMe.
0040170F    :A1   mov eax,dword ptr fs:[]
                  push eax
    : >mov dword ptr fs:[],esp
0040171D    83EC          sub esp,0x68

5.然后修复脱壳就OK了