【文章标题】: 不使用 ImportREC 来脱 PECompact 2.x 版本的壳
【文章作者】: CCDebuger
【下载地址】: 自己搜索下载
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  
  写这篇文章主要是看到了这个求助帖：http://bbs.pediy.com/showthread.php?t=81974，就把里面提到的程序拿来看了一下。这里我把不用 ImportREC 来脱 PECompact 2.x 版本壳的过程写下来，再来一个脱壳脚本，简化一下流程。现在进入正题吧。
  载入程序后断 BP VirtualAlloc，两次中断后会返回到这里：
  

00EA0C30 6A 40 PUSH 40
00EA0C32 68 00100000 PUSH 1000
00EA0C37 51 PUSH ECX
00EA0C38 6A 00 PUSH 0
00EA0C3A FF95 371F9400 CALL DWORD PTR SS:[EBP+941F37]
00EA0C40 8985 271F9400 MOV DWORD PTR SS:[EBP+941F27],EAX ; 返回到这
00EA0C46 56 PUSH ESI
00EA0C47 E8 F6030000 CALL 00EA1042
00EA0C4C 8D8D BD1D9400 LEA ECX,DWORD PTR SS:[EBP+941DBD]
00EA0C52 85C0 TEST EAX,EAX
00EA0C54 0F85 94000000 JNZ 00EA0CEE
00EA0C5A 56 PUSH ESI
00EA0C5B E8 40030000 CALL 00EA0FA0 ; ; 这里面用解码后的内容填充原程序的各个区段，F7跟进
00EA0C60 56 PUSH ESI
00EA0C61 E8 55020000 CALL 00EA0EBB
00EA0C66 90 NOP
00EA0C67 90 NOP
00EA0C68 90 NOP
00EA0C69 90 NOP
00EA0C6A 90 NOP
00EA0C6B 90 NOP
00EA0C6C 90 NOP
00EA0C6D 90 NOP
00EA0C6E 90 NOP
00EA0C6F 90 NOP
00EA0C70 90 NOP
00EA0C71 90 NOP
00EA0C72 90 NOP
00EA0C73 90 NOP
00EA0C74 8B4E 34 MOV ECX,DWORD PTR DS:[ESI+34]
00EA0C77 85C9 TEST ECX,ECX
00EA0C79 0F84 89000000 JE 00EA0D08
00EA0C7F 034E 08 ADD ECX,DWORD PTR DS:[ESI+8]
00EA0C82 51 PUSH ECX
00EA0C83 56 PUSH ESI
00EA0C84 E8 47060000 CALL 00EA12D0 ; 处理输入表，F7跟进
00EA0C89 85C0 TEST EAX,EAX
00EA0C8B 74 7B JE SHORT 00EA0D08

00EA0FA0 55 PUSH EBP ; 一路按F8
00EA0FA1 8BEC MOV EBP,ESP
00EA0FA3 83C4 E8 ADD ESP,-18
00EA0FA6 53 PUSH EBX
00EA0FA7 57 PUSH EDI
00EA0FA8 56 PUSH ESI
省略若干代码...
00EA101B 5A POP EDX
00EA101C 8B75 FC MOV ESI,DWORD PTR SS:[EBP-4]
00EA101F 8B3B MOV EDI,DWORD PTR DS:[EBX]
00EA1021 03FA ADD EDI,EDX ; 各个区段的开始偏移加上基址，从最后一个开始加。个区段的起始偏移就在EDI中
00EA1023 8B4B 08 MOV ECX,DWORD PTR DS:[EBX+8]
00EA1026 8BC1 MOV EAX,ECX

00EA12D0 55 PUSH EBP ; 一路按F8到下面那个CALL
00EA12D1 8BEC MOV EBP,ESP
00EA12D3 53 PUSH EBX
00EA12D4 57 PUSH EDI
00EA12D5 56 PUSH ESI
00EA12D6 8B75 0C MOV ESI,DWORD PTR SS:[EBP+C]
00EA12D9 8B5D 08 MOV EBX,DWORD PTR SS:[EBP+8]
00EA12DC 33C0 XOR EAX,EAX
00EA12DE 3946 10 CMP DWORD PTR DS:[ESI+10],EAX
00EA12E1 75 04 JNZ SHORT 00EA12E7
00EA12E3 3906 CMP DWORD PTR DS:[ESI],EAX
00EA12E5 74 24 JE SHORT 00EA130B
00EA12E7 0306 ADD EAX,DWORD PTR DS:[ESI]
00EA12E9 74 03 JE SHORT 00EA12EE
00EA12EB 0343 08 ADD EAX,DWORD PTR DS:[EBX+8]
00EA12EE 8B4E 0C MOV ECX,DWORD PTR DS:[ESI+C]
00EA12F1 034B 08 ADD ECX,DWORD PTR DS:[EBX+8]
00EA12F4 8B7E 10 MOV EDI,DWORD PTR DS:[ESI+10]
00EA12F7 85FF TEST EDI,EDI
00EA12F9 74 03 JE SHORT 00EA12FE
00EA12FB 037B 08 ADD EDI,DWORD PTR DS:[EBX+8]
00EA12FE 50 PUSH EAX
00EA12FF 57 PUSH EDI
00EA1300 51 PUSH ECX
00EA1301 53 PUSH EBX
00EA1302 E8 1F000000 CALL 00EA1326 ; 到这个CALL时按F7跟进去
00EA1307 40 INC EAX
00EA1308 75 08 JNZ SHORT 00EA1312

00EA1326 55 PUSH EBP ; 一路按F8
00EA1327 8BEC MOV EBP,ESP
00EA1329 83C4 E8 ADD ESP,-18
00EA132C 53 PUSH EBX
省略若干代码...
00EA1370 5B POP EBX
00EA1371 C9 LEAVE
00EA1372 C2 1000 RETN 10
00EA1375 90 NOP
这里都是 NOP...

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课