Encryptpe 2003.518

关注

原创最新推荐文章于 2026-03-30 07:39:17 发布 1.9k 阅读 AI 写同款· GEO 优化 ›

PE加密保护软件(EncryptPE) 1. 加密保护常规PE文件（EXE、DLL、OCX等），防静态分析修改，反动态跟踪调试。 2. 将普通软件变成共享软件，增加定时注册提醒、限制试用日期、限制试用次数、限制试用天数、限制每次试用多长时间等功能。 3. 根据最终用户的机器信息、注册用户名计算注册码，从 100 多种加密算法中随机选择一种用于注册码的计算。 4. 支持多语言，除GB外的其他语言形式的界面元素由“EncryptPE.INI”文件设置，便于增删改，注册窗口界面与语言相关。 5. 向待加密软件提供方便的编程接口，便于设计个性注册方式，同时使被加密程序与加密壳之间融为一个整体，增加破解难度。 6. 经加密软件可以运行于多种 Windows 平台，包括 9X/ME/NT/2000/XP。立即下载

简单脱壳EncryptPE 2003.5.18篇

【目标】:win98's notepad
【工具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F
【任务】:当然是脱马甲了
【操作平台】:WINDOWS 2000 ADV
【作者】:loveboom[DFCG]
【相关链接】: 不记得了，自己去搜一下吧。
【简要说明】：今天有点时间，也算是打发一下，不想自己太难过了。所以就玩了一下，不知道和fly的同不同，我现在还没看fly的，不是说fly写的不好，只是我觉得如果自己能够脱了之后再看别人的文章更能学到点东西，如果没能力脱的话就先看再脱(非常感谢fly给我等菜鸟这么多好的文章)。这个壳还比较好玩的。如果可能的话，最好自己动手后再看文章。

【详细过程】:
设置:
取消int3异常，其它选上加上0EEDFADE和C0000008(INVALID HANDLE)两个异常地址。

加壳后用peid找一下它说是upx的，好晕呀，不过我是我自己加的所以当然知道它是“冒牌”的了。这样我的petools也就多“认识”一款壳了。

第一步找OEP:

这步不难，在第八次int 3异常之后，在内存CODE(一般是40xxxx)段下断，这样就到了入口处。

第二步修复输入表

按第二次Shift+f9之后，下Mr GetProcAddress如果发现像这样子就第二次没错:

0012FECC 004061B4 ASCII "6e"
0012FED0 785C0000 OFFSET shell32.#465
0012FED4 00000202
0012FED8 77E69AC1 kernel32.GetProcAddress
0012FEDC 711A41BE RETURN to V1200351.711A41BE from V1200351.71126CF4
0012FEE0 785C0000 OFFSET shell32.#465
0012FEE4 00CFC77C ASCII "DragFinish"
0012FEE8 0012FEF4 Pointer to next SEH record

如果是这样子的话就要第三次Shift+f9后下mr GetProcAddress了:

0012FF90 0040D29A /CALL to GetProcAddress from notepad.0040D298
0012FF94 71120000 |hModule = 71120000 (V1200351)
0012FF98 0040D170 /ProcNameOrOrdinal = "EncryptPE_Init"

下断后第一次到这里:

7119D310 8B00 MOV EAX,DWORD PTR DS:[EAX]
7119D312 3C CC CMP AL,0CC
7119D314 74 14 JE SHORT V1200351.7119D32A

再按F9一次中断在系统中，现在看看当前堆栈的地址:

0012FEDC 711A41BE /CALL to GetProcAddress from V1200351.711A41B9
0012FEE0 785C0000 |hModule = 785C0000 (shell32)

直接在711A41BE处下断，按F9停下,向下不远处看到这段代码：

711A41FE 8B55 B8 MOV EDX,DWORD PTR SS:[EBP-48]
711A4201 E8 E2F0FFFF CALL V1200351.711A32E8 //这里跟进
711A4206 E9 B7010000 JMP V1200351.711A43C2
711A420B 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]

跟进后，我们要找IAT了，这个不难，看代码先。

711A32E8 55 PUSH EBP
711A32E9 8BEC MOV EBP,ESP
711A32EB 83C4 F8 ADD ESP,-8
711A32EE 53 PUSH EBX
711A32EF 56 PUSH ESI
711A32F0 57 PUSH EDI
711A32F1 8BF9 MOV EDI,ECX ; notepad.004063F8

//在数据窗口里直接到4063f8(ECX的值),这样向上找一下就可以看到IAT的位置和大小了

711A32F3 8955 FC MOV DWORD PTR SS:[EBP-4],EDX

再一直按F8来到这里:

711A3379 8908 MOV DWORD PTR DS:[EAX],ECX
711A337B 8BC3 MOV EAX,EBX
711A337D 83C0 0B ADD EAX,0B
711A3380 8BCA MOV ECX,EDX
711A3382 83C1 05 ADD ECX,5
711A3385 334D FC XOR ECX,DWORD PTR SS:[EBP-4] //这里[EBP-4]=正确API
//所以这里改成mov ecx, dword ptr ss:[ebp-4]
711A3388 8908 MOV DWORD PTR DS:[EAX],ECX
711A338A 8955 F8 MOV DWORD PTR SS:[EBP-8],EDX //这里改IAT的成员
//所以这里改成NOP。
711A338D 85FF TEST EDI,EDI
711A338F 74 29 JE SHORT V1200351.711A33BA
711A3391 33D2 XOR EDX,EDX

改好后，md删除内存断点，再按f9异常后按Shift+f9直到全部解压完成(判断很易的，看看状态栏就知道了)。完成后CTRL+P打开Patches窗口，这里可以看到我们改过的代码，双击代码并"清场"(反原代码)，这样不会让壳发现你已经改了的。

后面就按Shift+f9准备到入口处，到入口之后你就会发现全部API修复好了。现在用lordpe dumped下来并去掉壳启动的那个节（如果是delphi的程序就不要去了，去了程序无法运行的），修复输入表，Rebuilder之后就可以。壳也就此脱完了。

献给我亲爱的DFCG，愿它能够蒸蒸日上!
Thank all of my friends,best wish for you!

Thanks:
Fly 辉仔yock、jingulong、二哥、tDasm、所有曾经关心支持或帮助过我的朋友！谢谢您们！

收录于