下载地址： http://www.deepsoftware.ru/eas/eas5setup.exe
软件大小： 2M
【软件简介】：Easy Assembler Shell (EAS) is Integrated Development Environment (IDE) oriented for Assembler Language programming under Win32/x86 platform.
【保护方式】：ASProtect壳+30天试用
【作者声明】：只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！
【调试环境】：WinXP、flyODBG、PEiD、LordPE、ImportREC
—————————————————————————————————
【脱壳过程】：
一、脱壳
设置Ollydbg忽略除了“内存访问异常”之外的所有其它异常选项。老规矩：用IsDebug 1.4插件去掉Ollydbg的调试器标志。载入后弹出“是压缩代码——要继续进行分析吗？”，点“否”。
复制内容到剪贴板
00401000 68 01F04800 push eas.0048F001//进入OD后停在这！
00401005 E8 01000000 call eas.0040100B
0040100A C3 retn
F9运行，程序会中断在异常处，Shift+F9通过异常 ASProtect的最后1次异常处的代码都相似。
复制内容到剪贴板
00C13AFE 3100 xor dword ptr ds:[eax],eax//最后1次异常
00C13B00 64:8F05 00000000 pop dword ptr fs:[0]
00C13B07 58 pop eax
00C13B08 833D D47DC100 00 cmp dword ptr ds:[C17DD4],0
00C13B0F 74 14 je short 00C13B25
00C13B11 6A 0C push 0C
00C13B13 B9 D47DC100 mov ecx,0C17DD4
00C13B18 8D45 F8 lea eax,dword ptr ss:[ebp-8]
00C13B1B BA 04000000 mov edx,4
00C13B20 E8 3FD3FFFF call 00C10E64
00C13B25 FF75 FC push dword ptr ss:[ebp-4]
00C13B28 FF75 F8 push dword ptr ss:[ebp-8]
00C13B2B 8B45 F4 mov eax,dword ptr ss:[ebp-C]
00C13B2E 8338 00 cmp dword ptr ds:[eax],0
00C13B31 74 02 je short 00C13B35
00C13B33 FF30 push dword ptr ds:[eax]
00C13B35 FF75 F0 push dword ptr ss:[ebp-10]
00C13B38 FF75 EC push dword ptr ss:[ebp-14]
00C13B3B C3 retn//直接在这下断！ Shift+F9断在这！返回到 00C2E4F4
复制内容到剪贴板
00C2E4F4 E9 9B090000 jmp 00C2EE94//如果F7跟踪下去会兜个圈子。所以在此处可以直接F4到下1行
00C2E4F9 66:0FBEF7 movsx si,bh
00C2E4FD 81DA 21A2549E sbb edx,9E54A221
00C2E503 E8 00000000 call 00C2E508//当然可以F7继续手动跟踪，但是用TC跟踪岂不爽哉？
TC EIP<600000 使用模拟跟踪吧！几十秒后Ollydbg自动暂停在004459DC，
查看 运行跟踪 ，很容易看见从壳中返回程序的地方，发现挪到壳中执行的Stolen Code :-)
复制内容到剪贴板
00C2ED80 5D pop ebp
00C2ED81 81ED BA6F4900 sub ebp,496FBA
00C2ED87 8D8D CE6F4900 lea ecx,dword ptr ss:[ebp+496FCE]
00C2ED8D 03CB add ecx,ebx
00C2ED8F 8941 01 mov dword ptr ds:[ecx+1],eax
00C2ED92 EB 00 jmp short 00C2ED94
00C2ED94 55 push ebp ★
00C2ED95 8BEC mov ebp,esp ★
00C2ED97 83C4 F0 add esp,-10 ★这12个字节就是OEP处的Stolen Code
00C2ED9A 53 push ebx ★
00C2ED9B B8 28564400 mov eax,445628 ★
00C2EDA0 68 DC594400 push 4459DC//4459DC
00C2EDA5 C3 retn//飞向光明之巅！:-) 返回 4459DC
您当前的位置：
减小字体
增大字体