1.载入PEID
PEncrypt 4.0 Gamma / 4.0 Phi -> junkcode [Overlay]
2.载入OD，没什么头绪，忽略所有异常，用最后一次异常法shift+F9运行两次，因为第三次会跑飞，所以运行两次，另外这个壳使用单步太费劲了，一不小心就跑飞了，所以直接使用的最后一次异常法进行脱壳的
> FC cld ; //入口点
FC cld
FC cld
nop
- E9 BDBA0000 jmp PEncrypt.0040CAC6
- E3 D5 jecxz short PEncrypt.00400FE0
0040100B 4F add al,0x4F
0040100D - A4 je short PEncrypt.00400FB3
0040100F D248 ror byte ptr ds:[eax+0x74],cl
3.最后一次异常法的落脚点，落脚后，右键—转到—表达式—输入SE句柄(也叫SE处理程序)”0040CCD7”—回车
0040CCD0 9D popfd
0040CCD1 nop
0040CCD2 4B dec ebx ; //最后一次异常法落脚点
0040CCD3 6F outs dx,dword ptr es:[edi]
0040CCD4 arpl word ptr ds:[eax+0x69],bp
0040CCD7 8B4424 mov eax,dword ptr ss:[esp+0x4]
0040CCDB 8B00 mov eax,dword ptr ds:[eax]
0040CCDD 3D cmp eax,0x80000004 0012FF88 0040CCD7 SE处理程序
4.回车后的位置，然后F2,SHIFT+F9，F2，也就是让程序运行到转到的位置上，然后继续F8，F8过程中，记得在向上跳转的下一行F4，也就是让程序运行到向上跳转的下一行，这是脱壳的基本原则，尽量不让程序往回跳
0040CCD3 6F outs dx,dword ptr es:[edi]
0040CCD4 arpl word ptr ds:[eax+0x69],bp
0040CCD7 8B4424 mov eax,dword ptr ss:[esp+0x4] ; //回车的位置
0040CCDB 8B00 mov eax,dword ptr ds:[eax]
0040CCDD 3D cmp eax,0x80000004
0040CCE2 je short PEncrypt.0040CCEA
0040CCE4 4B dec ebx
5.找到关键跳，指向OEP的关键跳
0040CD26 9D popfd
0040CD27 popad
0040CD28 BD CC104000 mov ebp,PEncrypt.004010CC
0040CD2D - FFE5 jmp ebp ; //指向OEP的关键跳
0040CD2F add byte ptr ds:[eax],al
0040CD31 add byte ptr ds:[eax],al
0040CD33 add byte ptr ds:[eax],al
6.来到OEP，进行脱壳，需要注意的是脱壳后无法正常运行，需要使用loadPE重建PE表才可以正常运行
004010CC push ebp ; PEncrypt.004010CC
004010CD 8BEC mov ebp,esp
004010CF 83EC sub esp,0x44
004010D2 push esi
004010D3 FF15 E4634000 call dword ptr ds:[<&KERNEL32.Get>; kernel32.GetCommandLineA
004010D9 8BF0 mov esi,eax
004010DB 8A00 mov al,byte ptr ds:[eax]
004010DD 3C cmp al,0x22
004010DF 1B jnz short PEncrypt.004010FC
7.运行查壳
运行OK，查壳：Microsoft Visual C++ v6.0 SPx