一些非常规壳的脱壳方法

FSG壳:入口特征如下，需要注意程序先单步F8到movs处再用ESP定律法脱壳

到下图位置遇到三个跳转,先删除之前下的断点,再直接在jmp处下断点，单步F8一下直接到oep处

dump后用import REC 修复后无法打开软件,需要修复下函数,在OD中随便找个CALL(需要跟着函数名的)，如下图,再跟importREC对照一下看是不是函数地址能对应起来，然后在OD命令行中输入d xxxxxx,如下图是输入d 00425140加车,鼠标往上拉，直接找到上面数值全是0000000为止，记录此地址的起始值,图中是00425000。再往下拉找到所有函数地址的结束处，记录此地址的结束值，图中是00425514。

在importREC中输入OEP值,输入RVA值(上图记录下来的起始值减去基址的值),本图为00425000-00400000=00025000,大小值(上图结束值减去起始值)为000425514-00425000=00000514,然后获取导入表，将无效的剪切,修正转存便可。

 

 

 

PECompact壳：入口特征如下，先F8单步运行到mov处再用ESP定律进行脱壳

PEncrypt 壳:入口特征如下，可用最后一次异常法脱壳,脱壳后的文件用ImportREC修复后依然无法打开可以再用LoadPE重建PE功能重建一下PE