手脱ASProtect v1.23 RC1(无Stolen Code)

1.载入PEID

ASProtect v1.23 RC1

2.载入OD，不勾选内存访问异常，其他异常全部勾选

00401000 >  68 01C04200     push 跑跑排行.0042C001                       ; //入口处
00401005    E8 01000000     call 跑跑排行.0040100B
0040100A    C3              retn
0040100B    C3              retn
0040100C    D6              salc
0040100D    54              push esp
0040100E    4A              dec edx
0040100F    60              pushad
00401010    55              push ebp

3.使用最后一次异常法，来到最后一次异常处应该是第16次，第17次就跑飞了

009E2CD1    3100            xor dword ptr ds:[eax],eax               ; //落脚点
009E2CD3    64:8F05 0000000>pop dword ptr fs:[0]
009E2CDA    58              pop eax
009E2CDB    833D 7C6D9E00 0>cmp dword ptr ds:[9E6D7C],0
009E2CE2    74 14           je short 009E2CF8
009E2CE4    6A 0C           push 0C
009E2CE6    B9 7C6D9E00     mov ecx,9E6D7C
009E2CEB    8D45 F8         lea eax,dword ptr ss:[ebp-8]
009E2CEE    BA 04000000     mov edx,4
009E2CF3    E8 54E1FFFF     call 009E0E4C

4.往下拉找到最近的一个retn处F2，shift+F9，F2，让程序运行到指定位置

009E2D08    FF75 F0         push dword ptr ss:[ebp-10]
009E2D0B    FF75 EC         push dword ptr ss:[ebp-14]
009E2D0E    C3              retn                                     ; //F2，shift+F9，F2
009E2D0F    5F              pop edi
009E2D10    5E              pop esi
009E2D11    5B              pop ebx

5.程序到这里有两种方式可以到达OEP：

• 第一种：

打开内存窗口，在00401000处下段然后shift+F9就可以到达OEP

0040A41E    55              push ebp                                 ; //来到OEP
0040A41F    8BEC            mov ebp,esp
0040A421    6A FF           push -1
0040A423    68 C8CB4000     push 跑跑排行.0040CBC8
0040A428    68 A4A54000     push 跑跑排行.0040A5A4                      
0040A42D    64:A1 00000000  mov eax,dword ptr fs:[0]
0040A433    50              push eax
0040A434    64:8925 0000000>mov dword ptr fs:[0],esp
0040A43B    83EC 68         sub esp,68

• 第二种：

找到堆栈窗口第四行(跑跑排行榜.0040000下面两行)的值，也就是”0012FFA4”，然后命令行下硬件断点”hr 0012FFA4”,然后shift+F9运行一次

堆栈窗口：

0012FF5C   009F2BF4  //第一行
0012FF60   00400000  跑跑排行.00400000
0012FF64   3D375BA5
0012FF68   0012FFA4  //第四行
0012FF6C   009D0000
0012FF70   009B0000

这里是一个大跳转，也就是指向OEP的关键跳，F8单步一次

009F3457  - FFE0            jmp eax                                  ; //落脚点
009F3459    66:8BC4         mov ax,sp
009F345C    BD F2E44268     mov ebp,6842E4F2
009F3461    F7D5            not ebp
009F3463    81C5 8039C332   add ebp,32C33980
009F3469    80D2 51         adc dl,51
009F346C    BF A1CAF122     mov edi,22F1CAA1
009F3471    C1CF B3         ror edi,0B3

0040A41E    55              push ebp                                 ; //来到OEP
0040A41F    8BEC            mov ebp,esp
0040A421    6A FF           push -1
0040A423    68 C8CB4000     push 跑跑排行.0040CBC8
0040A428    68 A4A54000     push 跑跑排行.0040A5A4                      
0040A42D    64:A1 00000000  mov eax,dword ptr fs:[0]
0040A433    50              push eax
0040A434    64:8925 0000000>mov dword ptr fs:[0],esp
0040A43B    83EC 68         sub esp,68

6.然后依然是LoadPE+ImportREC脱壳，注意使用ImportREC修复的时候等级1+插件修复

7.运行查壳

运行OK,查壳：Microsoft Visual C++ v6.0