今天给大家做的教程是破解第一课。。那就是脱壳
壳分两类。一种是压缩壳。一种是加密壳。。
而我们常见的是。UPX..aps壳
现在我演示的是手脱UPX。。
其实这种常见的有脱壳机。。
＝＝＝＝＝＝＝＝＝＝＝＝、
工具：flyoDBG 这是我们脱壳的工具  peid这是我们查壳的工具。。当然。。我们要脱 壳就必须知道他是什么壳
修复工具imprt reconstruct.
工具大家自己去下啊
=========================================================================
脱壳的方法基本有这四种：
.脱壳基础知识要点 （新手必需知道的
1.PUSHAD :（压栈） 代表程序的入口点
2.POPAD  :（出栈） 代表程序的出口点，与PUSHAD想对应.看到这个,就说明快到OEP了.
3.OEP:程序的入口点,软件加壳就是隐藏OEP.而我们脱壳就是为了找OEP.
二.脱壳调试过程中辨认快到OEP的简单方法
下面二个条件是快到OEP的共同现象:OEP程序入中点
若出现下面情况时,说明OEP就要到了:
1. OD跟踪过程中如果发现:
popad
popfd
或
popad
2.同时,紧接着,有retn ,jmp等其它跳转指令,发生跨段跳跃时.
说明OEP马上到了.
三.脱壳必需牢记的要领
1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按F4,运行到所选.
2.刚载入程序,在附近就call时,我们按F7跟进去.
3.若跟踪时,运行某个call程序就运行时,这个call也用F7进入.
4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN同时发生大跨段跳转时,说明很快就到OEP了.
四.常用脱壳方法总结
--
方法一:单步跟踪法
介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦（由于时间关系。和这种方法比较麻烦。所以我就不演示了）,要一步一步的跟踪分析,要有一定的耐心.
1.用OD载入,选"不分析代码"
2.单步向下跟踪按F8，实现向下的跳.不让程序往回跳.
3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）
4.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易运行.
5.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入.
6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。
方法二:ESP定律法（我只演示这种）
介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快.
1.开始就点F8向下走，注意观察OD右上角的寄存器中ESP有没突现（变成红色）
2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者hr
XXXXXXXX)，按回车！
3.选中下断的地址，断点--->硬件访--->WORD断点。
4.按一下F9运行程序，直接来到了跳转处，按下F8向下走，就到达程序OEP。
方法三:内存镜像法
介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用.
1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序！
2.按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点.
3.接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE，按F2下断点！然后按SHIFT+F9，直接到达程序OEP！
方法四:一步到OEP
介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳.
1.开始按Ctrl+F,输入：popad,然后按下F2下断，按F9运行到此处.
2.很快来到大跳转,按F8向下走,来到OEP.
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
这么多。你们自己看吧。。
我只演示前两种。。其它的你们自己试试。。
不行的话再来找我。。
现在我开始演示。。
很快。也很简单。。
我们先打开peid查一下壳
是UPX  壳
会用脱壳机的人。可以一步到位。
但这种壳很简单脱
打开OD载入
这是英文版。。为什么让大家容易看。。我打开汉化版的、、
、这时点否N
我全屏。。大家看清楚
就这样。。我们直接到了EBP..
我们把它载出来。。要记住这个10CC
修复的时间我们用到
我们先看看能不能打开
能打开。说明不用修复。。
但在这。。我也演示一下
打开。import reconstruct
对不起。。这里工具坏了。就不演示。。
 来源于网络！