汉化版WinHex和CFF Explorer下载及程序脱壳后修复，重建引入表，修改程序PE文件（附下载链接）
前言
现有一个加壳程序，要求对程序脱壳，需要修复脱壳后的程序
使用PEiD查壳，显示为NsPack 1.4 -> Liuxingping [Overlay] *
先定位程序的OEP，使用od打开程序，看到有压入栈的操作
进行查找，查找命令序列popad popfd，和pushfd pushad对应，点击查找
得到
在popfd处下断点
运行程序到达断点处
单步步过，跳转到00403831处，这里就是OEP
使用PEiD进行脱壳，运行脱壳后的程序得到
需要重建引入表，运行为脱壳的程序，使用Import REC附加程序，输入OEP，选择自动搜素，获取输入表，得到输入函数
Import REC的下载及使用：
[Import REC] Import REC下载及使用Import REC重建引入表Import table详细过程（附有下载文件）-CSDN博客
点击修复转存文件，选择脱壳后的程序
运行脱壳后的程序
使用CFF Explorer查看节头部
CFF Explorer的下载链接：
CFF Explorer
链接：https://pan.quark.cn/s/2dca09215b77
提取码：2ZeF
下载后解压，双击.exe文件即可运行
看到nsp4，Raw地址加Raw大小等于28400
打开Hex编辑器WinHex
WinHex下载链接：
WinHex
链接：https://pan.quark.cn/s/8fce028f9f1b
提取码：Yaa8
下载后解压，双击文件中的.exe文件即可使用
打开未脱壳的文件，在偏移量28400处右键点击选块起始地址
找到最后，右键选择选块尾部
右键点击复制->正常
打开破解并修复后的文件，粘贴到末尾
保存文件，运行刚才保存的文件，出现如图窗口
脱壳成功，且修复成功
用到的下载链接，都是免安装的绿化版，下载后解压，双击.exe文件即可使用
CFF Explorer
链接：https://pan.quark.cn/s/2dca09215b77
提取码：2ZeF
WinHex
链接：https://pan.quark.cn/s/8fce028f9f1b
提取码：Yaa8
链接失效（可能会被官方和谐）可私信或评论我重发
原文地址：https://blog.csdn.net/2301_77946674/article/details/143754802
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！