ACProtect Professional 1.3C 主程序脱壳(1)(图)

1) 406edc,返回到壳


返回到壳代码,所以这是stolen code发出的call。



2) 46261c,返回到壳



3) 读操作断下



4) 462634,返回到壳


这里的代码也会引发异常。先remove内存访问断点,到73cedd设断。断下后恢复内存访问断点。
5) 读操作断下



6) 又在462634,是循环吗?按第4步的办法处理




7)到站了j



这里是false oep。下面的空间有限。可以看到,stolen codes中含有的call:
406edc,46261c,462634(执行2次)。

在dump窗口中看:


oep应该在4d9de4。