PESpin是一個(gè)Windows可執(zhí)行文件的保護(hù)，壓縮機(jī)用純Win32ASM MASM的編碼。它允許整個(gè)可執(zhí)行文件壓縮 -代碼，數(shù)據(jù)和資源，使他們對(duì)修補(bǔ)和可執(zhí)行文件和拆卸保護(hù)。
由于Antidump和Remove OEP的保護(hù)方式處理起來(lái)都比較簡(jiǎn)單，故同時(shí)加上這個(gè)保護(hù)方式：
對(duì)象依舊是98記事本。
OD載入后，F(xiàn)8單步2次后使用ESP定律，來(lái)到下面地方：
代碼比較亂，我們來(lái)去除下花指令，方便我們看被抽取的代碼：
去除完花指令后，代碼就清晰多了。
接著F8走下去，就可以看見(jiàn)stolen code了
找到所有的stolen code,整理下，二進(jìn)制代碼為：
55 8B EC 83 EC 44 56 FF 15 E8 0E 41 00 8B F0 8A 00 3C 22
哈，還比較厚道，抽取的代碼并不多，接著，下面的JMP就跳到foep去了。
來(lái)到OEP后，補(bǔ)上被抽取的代碼，然后，在第一句新建EIP
接著，再用UIF處理下IAT
處理完后，dump程序，再用Import REC修復(fù)一下程序。
程序就可以正常運(yùn)行了。
哈，脫殼就到此結(jié)束了。
簡(jiǎn)單總結(jié)下：
此2保護(hù)方式都非常簡(jiǎn)單，基本的步驟就是用ESP定律，然后找回所有的stolen code,接著來(lái)到foep處，補(bǔ)上所有的代碼，然后用UIF修復(fù)下IAT，最后dump和修復(fù)就OK。至此，整個(gè)PESpin1.32的所有保護(hù)方式的講解到此結(jié)束。
喜歡 
頂
難過(guò)
囧
圍觀
無(wú)聊
