手动脱壳进阶第九篇Acprotect1.09

embedded cryptor against dump and unpacker.it also has many anti debug tricks.  And you can use it to  create  evaluation and trial application versions. with specialized API system, mutual communication between loader and application is also can be achieved.

截图

【软件大小】 125k

【加壳方式】 UltraProtect 1.x -> RISCO Software Inc.

【破解声明】 我是一只小菜鸟，偶得一点心得，愿与大家分享：）

--------------------------------------------------------------------------------

【破解内容】
Od设置不忽略内存异常，其余异常全部忽略。

载入程序，插件隐藏Od。

0040D000 >  60              PUSHAD  入口。
0040D001    FC              CLD
0040D002    87FE            XCHG ESI,EDI
0040D004    66:C1CE A5      ROR SI,0A5                               ; 移动常数超出 1..31 的范围
0040D008    66:13F0         ADC SI,AX
0040D00B    7E 03           JLE SHORT NOTEPAD.0040D010
0040D00D    7F 01           JG SHORT NOTEPAD.0040D010
0040D00F  - EB BF           JMP SHORT NOTEPAD.0040CFD0
0040D011    C7              ???                                      ; 未知命令
0040D012    F2:             PREFIX REPNE:                            ; 多余的前缀X REP
0040D013    EB 5E           JMP SHORT NOTEPAD.0040D073
0040D015    E8 01000000     CALL NOTEPAD.0040D01B
0040D01A  - 76 83           JBE SHORT NOTEPAD.0040CF9F
...................................................................

基本思路，利用Seh最后一次异常找OEP,这里经过多次试验决定选择不忽略内存异常。
最后一次内存异常

0041308E    CD 01           INT 1
00413090    40              INC EAX
00413091    40              INC EAX
00413092    0BC0            OR EAX,EAX
00413094    0F85 B6000000   JNZ NOTEPAD.00413150
0041309A    60              PUSHAD
0041309B    8DBD 36B74100   LEA EDI,DWORD PTR SS:[EBP+41B736]
004130A1    4F              DEC EDI
004130A2    8D8D 70BE4100   LEA ECX,DWORD PTR SS:[EBP+41BE70]
004130A8    83C1 02         ADD ECX,2
004130AB    2BCF            SUB ECX,EDI
004130AD    C1E9 02         SHR ECX,2
004130B0    E8 49D8FFFF     CALL NOTEPAD.004108FE
004130B5    AB              STOS DWORD PTR ES:[EDI]
004130B6  ^ E2 F8           LOOPD SHORT NOTEPAD.004130B0
004130B8    61              POPAD
004130B9    60              PUSHAD
004130BA    E8 92DAFFFF     CALL NOTEPAD.00410B51
...................................................................

可以单步跟踪到入口点，很慢的。这里我选择了内存Code段镜像断点。

Alt+M

下401000处Code段内存访问断点，见截图,F9运行后中断。