VMP:入口点API脱壳

入口点API查找

通过常见编译器程序入口点的API,下断点,返回到OEP附近
vs系列常见入口点:待补充
qt系列常见入口点:待补充
…

例子

使用vmp加壳扫雷.exe
虚拟化工具未打开

未加壳前OEP:

x32的文本初始化失败,所以断点文本有问题

断点选择:GetModuleHandleA

判断call返回值

.text段的范围为01001000----01005000
查看堆栈call的返回值,在.text段里面(非vmp段里面)

函数头OEP

转到1003E38
找到OEP地址 1003E21(x32自动标注蓝色了)

使用自带插件scylla修复

填写OEP:1003E21,然后点击转储,保存文件

点击软件可以正常运行