PESpin是一個Windows可執(zhí)行文件的保護(hù)，壓縮機(jī)用純Win32ASM MASM的編碼。它允許整個可執(zhí)行文件壓縮 -代碼，數(shù)據(jù)和資源，使他們對修補(bǔ)和可執(zhí)行文件和拆卸保護(hù)。
由于Antidump和Remove OEP的保護(hù)方式處理起來都比較簡單，故同時加上這個保護(hù)方式：
對象依舊是98記事本。
OD載入后，F(xiàn)8單步2次后使用ESP定律，來到下面地方：
代碼比較亂，我們來去除下花指令，方便我們看被抽取的代碼：
去除完花指令后，代碼就清晰多了。
接著F8走下去，就可以看見stolen code了
找到所有的stolen code,整理下，二進(jìn)制代碼為：
55 8B EC 83 EC 44 56 FF 15 E8 0E 41 00 8B F0 8A 00 3C 22
哈，還比較厚道，抽取的代碼并不多，接著，下面的JMP就跳到foep去了。
來到OEP后，補(bǔ)上被抽取的代碼，然后，在第一句新建EIP
接著，再用UIF處理下IAT
處理完后，dump程序，再用Import REC修復(fù)一下程序。
程序就可以正常運行了。
哈，脫殼就到此結(jié)束了。
簡單總結(jié)下：
此2保護(hù)方式都非常簡單，基本的步驟就是用ESP定律，然后找回所有的stolen code,接著來到foep處，補(bǔ)上所有的代碼，然后用UIF修復(fù)下IAT，最后dump和修復(fù)就OK。至此，整個PESpin1.32的所有保護(hù)方式的講解到此結(jié)束。
喜歡 
頂
難過
囧
圍觀
無聊
