手动UPX脱壳演示

首先，用PEid打开加壳后的程序CrackmeUPX.exe,可以发现使用的是UPX壳。UPX壳是一种比较简单的压缩壳，只需要根据堆栈和寄存器的值进行调试，就能找到程序的正确入口点。当然，如果不怕麻烦的话，也可以全程单步调试，直到出现像正常程序的入口点一样特征的代码，这样就找到了入口点。

 

用我爱破解版ollydbg打开CrackmeUPX.exe，可以看到第一条指令是pushad，这显然不是普通程序应该有的第一条指令。pushad保存当前的上下文，即把寄存器的值存到堆栈中。

 

pushad后，可以看到堆栈中的内容正是之前的各个寄存器的值，其中栈顶保存的是EDI的值。栈顶的地址存储在ESP中。如果程序要正常运行，必定要从栈中取回这些值，因此可以到栈顶的内容表示的地址去看看会进行什么操作。

 

在栈顶所在地址设置断点，执行到此处，发现是一个跳转指令，跳转到0x00401000。

跳转后，发现出现的代码符合正常程序入口点的特征，那么正确的入口点应该就是0x00401000。基于此，进行脱壳并重命名为test.exe。

 

用PEiD打开test.exe，可以看到已经没有壳了。至此，脱壳完成。