手撕Nspack3.7（北斗）壳

声明

记住ESP的值，然后下面用几种技术分别脱壳

ESP定律

ESP的值为0x19FF74
设置硬件访问断点（记住在ESP的突变后第一步）

第一步：

dump数据区

然后设置硬件访问断点

特别注意，是硬件访问断点，千万别下成硬件写入断点和硬件执行断点

紧接着运行即可，然后到达这里

遇到一个大跳转，即跳向OEP地址的。执行后，

这里即是OEP，ESP的值为0x19FF74

收尾

记得把硬件断点删除

单步执行

还是那句话，遇到向下的跳转让它实现，向上的直接F4就行。。
然后就来到了

这个的话，单步跟踪没什么好说的。。。跟UPX一样。。。执行到OEP后，ESP的值为0x19FF74

at GetVersion方法我试了一下，对付北斗3.7的壳行不通。。。

两次内存镜像

查了一下，PE在运行过程中，是从上向下开始解压的，以前先在.rsrc段下断点，然后再去1000偏移处下断点（一般为code段）。现在的话，没有.rsrc段，那就在1000偏移处下断点（一般为code段）

第一次

然后点击运行，来到了这里

接下来几步直接单步向下即可。

找到了去向OEP的关键点。GAMEOVER