<span class="pediy"><span class="pediy">
【破文标题】PECompact V2.40 简便脱壳-NOTEPADw2k.EXE
【破文作者】cuituo
【作者邮箱】cuituo@163.com
【所属组织】你的组织
【软件名称】PECompact V2.40 压缩 notepad
【破解工具】FuckALL.exe
【保护方式】PECompact V2.40
【破解难度】简单
-----------------------------------------------------------------
破解声名：学习fly大侠的破文解压w2k的notepad,见笑
-----------------------------------------------------------------
【破解分析】
设置Ollydbg忽略所有的异常选项。
01001000 > B8 F4140101 MOV EAX,NOTEPADw.010114F4
01001005 50 PUSH EAX
01001006 64:FF35 0000000>PUSH DWORD PTR FS:[0]
0100100D 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
01001014 33C0 XOR EAX,EAX
01001016 8908 MOV DWORD PTR DS:[EAX],ECX
01001018 50 PUSH EAX
01001019 45 INC EBP
0100101A 43 INC EBX
0100101B 6F OUTS DX,DWORD PTR ES:[EDI] ; I/O 命令
0100101C 6D INS DWORD PTR ES:[EDI],DX ; I/O 命令
0100101D 70 61 JO SHORT NOTEPADw.01001080
0100101F 637432 00 ARPL WORD PTR DS:[EDX+ESI],SI
01001023 60 PUSHAD
上面全是一样的,下断：BP VirtualFree
F9,
中断在此处,取消断点
77E64E64 > 55 PUSH EBP
77E64E65 8BEC MOV EBP,ESP
77E64E67 FF75 10 PUSH DWORD PTR SS:[EBP+10]
77E64E6A FF75 0C PUSH DWORD PTR SS:[EBP+C]
77E64E6D FF75 08 PUSH DWORD PTR SS:[EBP+8]
77E64E70 6A FF PUSH -1
77E64E72 E8 04000000 CALL kernel32.VirtualFreeEx
77E64E77 5D POP EBP
77E64E78 C2 0C00 RETN 0C F4执行到此,F8
00280330 8B46 0C MOV EAX,DWORD PTR DS:[ESI+C]
00280333 03C7 ADD EAX,EDI
00280335 5D POP EBP
00280336 5E POP ESI
00280337 5F POP EDI
00280338 5B POP EBX
00280339 C3 RETN F4执行到此,F8
010115A1 8985 23120010 MOV DWORD PTR SS:[EBP+10001223],EAX ; NOTEPADw.01006420
010115A7 8BF0 MOV ESI,EAX
010115A9 59 POP ECX
010115AA 5A POP EDX
010115AB 03CA ADD ECX,EDX
010115AD 68 00800000 PUSH 8000
010115B2 6A 00 PUSH 0
010115B4 57 PUSH EDI
010115B5 FF11 CALL DWORD PTR DS:[ECX]
010115B7 8BC6 MOV EAX,ESI
010115B9 5A POP EDX
010115BA 5E POP ESI
010115BB 5F POP EDI
010115BC 59 POP ECX
010115BD 5B POP EBX
010115BE 5D POP EBP
010115BF FFE0 JMP EAX F4执行到此,F8
//飞向光明之巅！ ^O^(FLY语)
01006420 55 PUSH EBP
01006421 8BEC MOV EBP,ESP
01006423 6A FF PUSH -1
01006425 68 88180001 PUSH NOTEPADw.01001888
0100642A 68 D0650001 PUSH NOTEPADw.010065D0 ; JMP to msvcrt._except_handler3
0100642F 64:A1 00000000 MOV EAX,DWORD PTR FS:[0]
01006435 50 PUSH EAX
01006436 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
0100643D 83C4 98 ADD ESP,-68
01006440 53 PUSH EBX
01006441 56 PUSH ESI
01006442 57 PUSH EDI
万分感谢,如果不是这个断点,我转了半天了愣没转出来呀!佩服佩服~~~
-----------------------------------------------------------------
【总结】
我的稍有不同,F9直接运行,没出现异常!~
-----------------------------------------------------------------
2004-8-13 6:16:48
