手脱UPX(3.91)

1、使用Detect It Easy进行查壳；

2、使用x32dbg打开该带壳程序，在选项->选项->异常中添加区间设置0~FFFFFFFF全忽略；

3、我们F9运行到程序入口处，看到了pushad，我们使用ESP定律进行脱壳；

4、运行后的位置在lea eax，我们可以看到其下有jne upx（3.91）.407ABB，jmp upx（3.91）.4012CD，我们当前的EIP地址为00407AB7，此处是个大跳转，极有可能是OEP，在jmp下断点，F9运行至此处，单步步入；

5、在此处就可以进行脱壳操作；

6、再次查壳；

7、总结；

该壳是一款不错的压缩工具，用UPX压缩过的可执行文件体积缩小50%-70%，但UPX每个版本使用的方法一样，也就意味着，这种方法能够脱去UPX的多个版本；

巴特西