首先查看壳是VMP2.07壳
遇见这种壳一般不脱壳,直接找OEP即可,调试环境建议为xp,在win10上问题不少。。。
右键选择FKVMP>>start,点击OD上方的L俺就,找到retn,且记录rentn地址
之后对VirtualProtect下断点,按F9运行观察堆栈区,直到NewProtect=READONLY为止,之后取消断点按ALT+M,对.txt下内存访问断点,再次按F9后取消text段的内存访问断点,再在retn的地址下断点运行。后删除断点,,再在.txt下的内存访问断点。F9运行到达OEP处
之后在用lordpe 转存下,方便IDA分析,但是分析,调试了半天也没什么结果。。。
后来问了sayhi师傅才知道出现如下方框这是hta程序,在OEP上方找到源码放入JavaScript解密 便可得到flag