手脱nSPack 1.3

1.PEID查壳

nSPack 1.3 -> North Star/Liu Xing Ping

2.载入OD，pushad下面的call哪里使用ESP定律，下硬件访问断点，然后shift+F9运行

 >  9C              pushfd                            ; //程序入口点

                  pushad

    E8      call QQ个性网.0043235D            ; //这里使用ESP

0043235D    5D              pop ebp

0043235E    B8 B3854000     mov eax,QQ个性网.004085B3

    2D AC854000     sub eax,QQ个性网.004085AC

    2BE8            sub ebp,eax

0043236A    8DB5 D6FEFFFF   lea esi,dword ptr ss:[ebp-0x12A]

3.ESP落脚点，落脚点的下一行就是一个大跳转，就是跳向OEP的，F8单步跟着跳

0043257A    9D              popfd                             ; //ESP落脚点

0043257B  - E9 54EDFCFF     jmp QQ个性网.004012D4             ; //跳向OEP的大跳转

    8BB5 AEFEFFFF   mov esi,dword ptr ss:[ebp-0x152]

    0BF6            or esi,esi

    0F84    je QQ个性网.

4.来到OEP，可以脱壳了

004012D4          push QQ个性网.               ; //来到OEP

004012D9    E8 F0FFFFFF     call QQ个性网.004012CE

004012DE                add byte ptr ds:[eax],al

004012E0                add byte ptr ds:[eax],al

004012E2                add byte ptr ds:[eax],al

004012E4                xor byte ptr ds:[eax],al

004012E6                add byte ptr ds:[eax],al

004012E8                  dec eax    

5.查壳运行

运行OK，查壳：Microsoft Visual Basic v5.0/v6.0