《加密与解密》ASProtect 2.1x SKE 脱壳过程中遇到的问题与解决方法及脱壳小结

  在学习《加密与解密》脱壳部分时，做了一次关于ASProtect的脱壳实验，但按照书上的步骤会报保护错误（Protect error）。为了明白原因，我 继续往下深入。除了分析结果，以下还记录了关于脱壳学习的小结，方便以后自己和坛友查看。

•       寻找OEP
  
•       Dump
  
•       解除 “Emulate standard system functions”功能
  
•       通过脚本解除 “Emulate standard system functions”功能

  1.寻找OEP

    关于ASProtect壳，找到原始入口点OEP（original entry point）有几种方法，坛论上也有很多相关的帖子，比如安于此生 翻译的 “使用OllyDbg从零开始Cracking 第五十一章-ASProtect v2.3.04.26脱壳-Part1  ” ，其中介绍了两种方法，一是Ollybone 插件；二是最后一次异常法。Ollybone这款插件很方便，在 401000 代码段使用break-on-execute断点，即可到达OEP。不过 ASProtect的外壳的起始地址也是401000，所以需要按F7，单步跟踪来到外壳的另一个段，再使用执行断点。注意Ollybone很久没 更新了，因此不支持现在的Windows高版本，比如Win8。在《加密与解密》一书中，也介绍了两种方法，一是使用VolX脚本，二是 分析外壳代码。在第二方法中，作者分析了外壳代码，来到了处理“Emulate standard system functions”处（之后会说到）， 当外壳执行完“模拟系统函数  ”  的功能后，只需对401000代码段设内存断点，再点击F9，即可来到OEP。

    注：书中所述的方法需要在“Options->Debugging options->exceptions”中勾选“Memory access violation”，即忽略 内存访问异常断点。

  2.Dump

    在ASProtect这个例子中，加壳选项只设置了“Emulate standard system functions”（以下简称模拟系统函数）。如果直接到达OEP，那么Dump下来的程序是无法运行的。因为Dump的数据只包括IMAGE_SECTION_HEADER所指定的，即只有代码段、数据段等，没有外壳代码部分。（这部分外壳代码的地址是通过VirtualAlloc分配的，因此不会被Dump下来，所以当Dump下来的程序执行时，会因找不到外壳代码而出错。）接下来到正题了。

  3.解除 “Emulate standard system functions”功能

    为能够让大家也尝试一次，在讲述正题前，先说一下快速来到“模拟系统函数”代码的方法。首先用OD打开附件中的“TraceMe_Emulate standard system functions.exe”，点击一次F9，来到401000代码段。