upx 脱壳记录

一个keygen，加的upx，以前没脱掉。今天不小心就脱了

004295BD >  84E7            test    bh, ah
004295BF    87C8            xchg    eax, ecx
004295C1    11EE            adc     esi, ebp
004295C3    0FCD            bswap   ebp
004295C5    0FAFDA          imul    ebx, edx
004295C8    55              push    ebp
004295C9    8BEC            mov     ebp, esp
004295CB    B8 00944200     mov     eax, 00429400
004295D0    8BD8            mov     ebx, eax
004295D2    B9 82000000     mov     ecx, 82
004295D7    8030 3A         xor     byte ptr [eax], 3A
004295DA    51              push    ecx
004295DB    33C9            xor     ecx, ecx
004295DD    B9 02000000     mov     ecx, 2
004295E2    83C0 01         add     eax, 1
004295E5  ^ E2 FB           loopd   short 004295E2
004295E7    59              pop     ecx
004295E8    83E8 01         sub     eax, 1
004295EB    49              dec     ecx
004295EC    74 02           je      short 004295F0
004295EE  ^ EB E7           jmp     short 004295D7
004295F0    FFE3            jmp     ebx

　　直接单步

00429400    60              pushad
00429401    BE 00E04100     mov     esi, 0041E000
00429406    8DBE 0030FEFF   lea     edi, dword ptr [esi+FFFE3000]
0042940C    57              push    edi
0042940D    83CD FF         or      ebp, FFFFFFFF
00429410    EB 10           jmp     short 00429422

　　然后esp定律

00429587    8D4424 80       lea     eax, dword ptr [esp-80]
0042958B    6A 00           push    0
0042958D    39C4            cmp     esp, eax
0042958F  ^ 75 FA           jnz     short 0042958B
00429591    83EC 80         sub     esp, -80
00429594  - E9 7663FEFF     jmp     0040F90F

　　直接oep

0040F90F    55              push    ebp                              ; oep
0040F910    8BEC            mov     ebp, esp
0040F912    6A FF           push    -1
0040F914    68 182F4100     push    00412F18
0040F919    68 96FA4000     push    0040FA96                         ; jmp 到 msvcrt._except_handler3
0040F91E    64:A1 00000000  mov     eax, dword ptr fs:[0]
0040F924    50              push    eax
0040F925    64:8925 0000000>mov     dword ptr fs:[0], esp
0040F92C    83EC 68         sub     esp, 68

　什么都不想说，最近很烦。