手工脱壳UPX 0.89.6 - 1.02 1.05 - 1.24 (Delphi) stu...

记住F8单步向下 F4断点

先向下 有一点大家一定要记得 脱壳一定要让程序向下走不能回跳

00640FC0 8A06 MOV AL,BYTE PTR DS:[ESI]
00640FC2 46 INC ESI
00640FC3 8807 MOV BYTE PTR DS:[EDI],AL
00640FC5 47 INC EDI
00640FC6 01DB ADD EBX,EBX
00640FC8 75 07 JNZ SHORT Domain3_.00640FD1
00640FCA 8B1E MOV EBX,DWORD PTR DS:[ESI]
00640FCC 83EE FC SUB ESI,-4
00640FCF 11DB ADC EBX,EBX
00640FD1 ^ 72 ED JB SHORT Domain3_.00640FC0
00640FD3 B8 01000000 MOV EAX,1<----------断点F4

00641069 8A02 MOV AL,BYTE PTR DS:[EDX]
0064106B 42 INC EDX
0064106C 8807 MOV BYTE PTR DS:[EDI],AL
0064106E 47 INC EDI
0064106F 49 DEC ECX
00641070 ^ 75 F7 JNZ SHORT Domain3_.00641069
00641072 ^ E9 4FFFFFFF JMP Domain3_.00640FC6
00641077 90 NOP

看见没两个回跳

00641077 90 NOP不能断如果断的话程序就会回跳 脱出来的也没用

00641078 8B02 MOV EAX,DWORD PTR DS:[EDX]<----------在这里断F4

00641078 8B02 MOV EAX,DWORD PTR DS:[EDX]
0064107A 83C2 04 ADD EDX,4
0064107D 8907 MOV DWORD PTR DS:[EDI],EAX
0064107F 83C7 04 ADD EDI,4
00641082 83E9 04 SUB ECX,4
00641085 ^ 77 F1 JA SHORT Domain3_.00641078
00641087 01CF ADD EDI,ECX<----------在这里断F4

00641089 ^\E9 38FFFFFF JMP Domain3_.00640FC6
0064108E 5E POP ESI<----------在这里断F4

0064109D ^\77 F7 JA SHORT Domain3_.00641096
0064109F 803F 19 CMP BYTE PTR DS:[EDI],19<----------在这里断F4


006410A2 ^\75 F2 JNZ SHORT Domain3_.00641096
006410A4 8B07 MOV EAX,DWORD PTR DS:[EDI]<----------在这里断F4


006410C0 ^\E2 D9 LOOPD SHORT Domain3_.0064109B
006410C2 8DBE 00C02300 LEA EDI,DWORD PTR DS:[ESI+23C000]<----------在这里断F4


006410C8 8B07 MOV EAX,DWORD PTR DS:[EDI]
006410CA 09C0 OR EAX,EAX
006410CC 74 3C JE SHORT Domain3_.0064110A
006410CE 8B5F 04 MOV EBX,DWORD PTR DS:[EDI+4]
006410D1 8D8430 50652400 LEA EAX,DWORD PTR DS:[EAX+ESI+246550]
006410D8 01F3 ADD EBX,ESI
006410DA 50 PUSH EAX
006410DB 83C7 08 ADD EDI,8
006410DE FF96 40662400 CALL DWORD PTR DS:[ESI+246640]
006410E4 95 XCHG EAX,EBP
006410E5 8A07 MOV AL,BYTE PTR DS:[EDI]
006410E7 47 INC EDI
006410E8 08C0 OR AL,AL
006410EA ^ 74 DC JE SHORT Domain3_.006410C8

注意：这里的向会跳是灰色的线的意思是跳转没实现所以就不用去断它

继续F8
注意：CALL 不能断
00641102 ^\EB E1 JMP SHORT Domain3_.006410E5
00641104 FF96 48662400 CALL DWORD PTR DS:[ESI+246648]

到0064110A 61 POPAD<----------在这里断F4

这里的大跳转就是进入口
OK 到入口 点 现在来脱 现在再来查壳  Borland Delphi 6.0 - 7.0