脱UPX的四种方法.docVIP

脱UPX的四种方法 --------------------------------------------------------------------------------- 手脱UPX的四种方法 首先，查壳，使用PEID是UPX 0.89.6 - 1.02 / 1.05 - 1.24 - Markus Laszlo,使用FI为UPX v1.08 接下来用OD载入，提示为“压缩代码是否继续分析”，我们选择否 我在这里介绍几种方法，请看我的操作。 方法1：单步跟踪（最常见的方法） 0040E8C0 N 60 pushad //停在这里了，我们F8单步 0040E8C1 BE 15B04000 mov esi,NOTEPAD.0040B015 0040E8C6 8DBE EB5FFFFF lea edi,dword ptr ds:[esi+FFFF 0040E8CC 57 push edi 0040E8CD 83CD FF or ebp,FFFFFFFF 0040E8D0 EB 10 jmp short NOTEPAD.0040E8E2 //跳 》》》》 0040E8E2 8B1E mov ebx,dword ptr ds:[esi] //跳到这里 0040E8E4 83EE FC sub esi,-4 0040E8E7 11DB adc ebx,ebx 0040E8E9 ^ 72 ED jb short NOTEPAD.0040E8D8 //这里要往回跳了 0040E8EB B8 mov eax,1 //F4，然后继续F8 0040E8F0 01DB add ebx,ebx 0040E8F2 75 07 jnz short NOTEPAD.0040E8FB //跳 》》》》 0040E8FB 11C0 adc eax,eax //来到这里，F8继续 0040E8FD 01DB add ebx,ebx 0040E8FD 01DB add ebx,ebx 0040E8FF ^ 73 EF jnb short NOTEPAD.0040E8F0 0040E901 75 09 jnz short NOTEPAD.0040E90C //跳 》》》》 0040E90C 31C9 xor ecx,ecx //跳到这里，继续F8 0040E90E 83E8 03 sub eax,3 0040E90E 83E8 03 sub eax,3 0040E911 72 0D jb short NOTEPAD.0040E920 //跳 》》》》 0040E920 01DB add ebx,ebx //跳到这里，继续F8 0040E922 75 07 jnz short NOTEPAD.0040E92B //跳 》》》 0040E92B 11C9 adc ecx,ecx //跳到了这里，继续F8 0040E92D 01DB add ebx,ebx 0040E92F 75 07 jnz short NOTEPAD.0040E938 //跳 》》》 0040E938 11C9 adc ecx,ecx //跳到这里，继续F8 0040E93A 75 20 jnz short NOTEPAD.0040E95C //跳 》》》》 0040E95C 81FD 00F3FFFF cmp ebp,-0D00 //来到这，继续F8 0040E962 83D1 01 adc ecx,1 0040E965 8D142F lea edx,dword ptr ds:[edi+ebp] 0040E968 83FD FC