Aspack 2.11手动脱壳入门教程第四篇

手动脱壳入门教程第四篇：Aspack 2.11 实战脱壳详解

手动脱壳其实并不神秘，只要备好工具、理清思路，再辅以耐心与细心，就能逐步掌握。今天我们将以 Aspack 2.11 为例进行实战演练，深入了解这款经典加壳工具的运行机制。

先说说工具准备：PEiD 用于查壳识别，OllyDbg 用于手动跟踪调试。平台建议使用 Windows 2000 或 Windows XP，Win9x 系统不太推荐。用 OllyDbg 载入目标程序后，会看到一个入口警告——提示程序已被加壳，选择“不继续分析”即可。

载入后，程序停在这里：

0040D001    60            pushad        ; Aspack 壳的入口第一句，记住这个特征
0040D002    E9 3D040000   jmp NOTEPAD.0040D444  ; 直接跳走，结构与 Aspack 1.08 完全不同

继续往下跟踪：

0040D444    81DD 719D255>sbb ebp, 55259D71   ; 到这里
0040D44A    E8 14000000   call NOTEPAD.0040D463  ; 这是一个比较近的 Call，F7 单步跟进，F8 会跑飞

这段代码之后是一系列花指令和运算，直到出现一个往回跳的循环：

0040D527    ^ 0F85 C4FFFFFjnz NOTEPAD.0040D4F1  ; 往回跳
0040D52D    66:8BD5       mov dx, bp             ; F4 到这里
0040D530    81D9 4192AA9  sbb ecx, 90AA9241
0040D536    ^ E9 00FFFFFF jmp NOTEPAD.0040D43B  ; 又往回跳

这里遇到了问题。如果在 0040D52D 处使用 F4，程序会直接跑飞，说明我们无法直接到达下一句。那只能让程序自行往回跳：

0040D43B    ^\E9 C7FBFFFF jmp NOTEPAD.0040D007  ; 又跳回入口附近

到这里就会发现，程序实际上绕了一个大圈，又回到了入口处的第三条代码：

0040D001    > 60            pushad
0040D002      E9 3D040000   jmp NOTEPAD.0040D444
0040D007      E8 24040000   call NOTEPAD.0040D430  ; 跳到这里，这不是入口处的第三条代码吗？

从 0040D007 开始，程序进入真正的解压缩流程：

0040D038    8D85 044A440   lea eax, dword ptr ss:[ebp 444A0>
0040D03F    FF95 004B440   call dword ptr ss:[ebp 444B00] ; 注意: kernel32.GetModuleHandleA
0040D055    FF95 FC4A440   call dword ptr ss:[ebp 444AFC] ; 注意: kernel32.GetProcAddress

这里连续调用了 GetModuleHandleA 和 GetProcAddress，用于获取 API 函数地址。随后进入一段循环，处理一系列数据：

0040D143    ^ EB EB        jmp short NOTEPAD.0040D130  ; 往回跳
0040D145    8B06           mov eax, dword ptr ds:[esi]  ; F4 过
0040D149    803E 00        cmp byte ptr ds:[esi], 0
0040D14C    ^ 75 F3        jnz short NOTEPAD.0040D141  ; 往回跳
0040D14E    24 00          and al, 0                   ; F4 过
0040D160    ^ EB CE        jmp short NOTEPAD.0040D130  ; 往回跳

逐步使用 F8 单步跟踪，直到看到一个明显的变化：

0040D3AA    61            popad       ; 看到这个，入口就在附近
0040D3B5    68 CC104000   push NOTEPAD.004010CC  ; 这个就是 OEP 的值：0x4010CC
0040D3BA    C3            retn

到达 OEP 后，程序跨段，并且出现了 Popad 指令。此时可直接使用 OllyDbg 的 Dump 插件进行脱壳：

004010CC    55            push ebp
004010CD    8BEC          mov ebp, esp
004010CF    83EC 44       sub esp, 44
004010D2    56            push esi
004010D3    FF15 E463400  call dword ptr ds:[4063E4] ; kernel32.GetCommandLineA

关于重建输入表：OllyDbg 的 Dump 插件提供了两种重建方式。
+ Method2 重建输入表速度很快，但运气不佳时程序可能无法运行。
+ Method1 重建输入表较慢，但成功率更高，更稳定。

对于这个程序，Method2 重建后无法正常运行，而 Method1 重建后可直接运行，无任何问题。

小总结：Aspack 2.11 的壳结构并不复杂，但花指令较多、循环嵌套频繁，手动跟踪时务必保持耐心。关键技巧是：遇到循环时，尽量让程序向前运行，避免其反复往回跳——想办法跳出循环圈。另外，不要完全依赖 PEiD 的入口点分析，只有通过单步跟踪才能真正锻炼寻找 OEP 的能力。