脱壳-ASPack 2.12

前言

ASPack 2.12可以用ESP定律脱壳.
ASPack 2.12OEP可以用查找命令的方法找到, 只有一处结果.
IAT用ImpREC直接可以修复.

记录

查壳

ASPack(2.12-2.XX)[-] // by DIE
ASPack 2.12 -> Alexey Solodovnikov // by PEID

找OEP

只有一处 006A13BF

006A13BA    68 24515E00     push    005E5124
006A13BF    C3              retn

在 retn 处下F2断点, 单步一次到OEP.

005E5124    55              push    ebp // OEP
005E5125    8BEC            mov     ebp, esp
005E5127    83C4 F0         add     esp, -10
005E512A    33C0            xor     eax, eax
005E512C    8945 F0         mov     dword ptr [ebp-10], eax
005E512F    B8 A4485E00     mov     eax, 005E48A4
005E5134    E8 D32EE2FF     call    0040800C
005E5139    33C0            xor     eax, eax
005E513B    55              push    ebp
005E513C    68 87535E00     push    005E5387
005E5141    64:FF30         push    dword ptr fs:[eax]
005E5144    64:8920         mov     dword ptr fs:[eax], esp
005E5147    68 94535E00     push    005E5394                         ; ASCII "mm_new_media"
005E514C    6A 00           push    0
005E514E    6A 00           push    0
005E5150    E8 B32FE2FF     call    00408108                         ; jmp to kernel32.CreateMutexA
005E5155    E8 B630E2FF     call    00408210                         ; jmp to ntdll.RtlGetLastWin32Error