PC Shrinker V0.71 脱壳——PCSHRINK.EXE 主程序

PC Shrinker V0.71 脱壳——PCSHRINK.EXE 主程序
 
 
 
下载地址：  http://www.exetools.com/files/compressors/win/pcsnk071.zip 
软件大小：  15KB
【软件简介】：Phrozen Crew PE Shrinker is an windows 9x/NT executable file compressor, allowing compressed executables to run, functionally,the same as always, but occupy a significantly less amount of disk space.
【作者声明】：只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！
【调试环境】：WinXP、Ollydbg、PEiD、LordPE、ImportREC
————————————————————————————————— 
【脱壳过程】：
          
         
PC Shrinker0.71 是算比较老的压缩壳，压缩效果还可以。
压缩壳的脱壳相对来说比较简单啦。抽了点时间脱了一下PCSHRINK.EXE 主程序。
         
 
004066F8     9C                  pushfd//进入OD后停在这
004066F9     60                  pushad
004066FA     BD B42D0000         mov ebp,2DB4
004066FF     01AD 543A4000       add dword ptr ss:[ebp+403A54],ebp
00406705     FFB5 503A4000       push dword ptr ss:[ebp+403A50]
0040670B     6A 40               push 40
0040670D     FF95 883A4000       call dword ptr ss:[ebp+403A88]; kernel32.GlobalAlloc
 
过了004066F9的pushad后，ESP=0019FFA0，用ESP定律，在0019FFA0内存处的4个字节上下硬件访问－>Word 断点。
F9运行，程序中断在001B2BB7处！
001B2BB7     9D                  popfd
001B2BB8     BA 00104000         mov edx,401000
001B2BBD     FFE2                jmp edx; PCSHRINK.00401000////飞向光明之巅！

00401000     E8 05160000         call PCSHRINK.0040260A//在这儿用LordPE完全DUMP这个进程
00401005     A3 DF374000         mov dword ptr ds:[4037DF],eax
0040100A     E8 BF150000         call PCSHRINK.004025CE; [GetCommandLineA]

运行ImportREC，选择这个进程。把OEP改为00001000，点IT AutoSearch，点“Get Import”，所有函数都是有效的。去掉“增加新的区段”的选项，在“新的输入信息”里填入RVA=00004540， FixDump。最后用FileScan优化一下，OK！