我以前也出现过这样的现象，后面虽然解决了，但是一直不知道问题原因，可以参考
1e6K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3S2A6i4K6u0W2j5X3q4A6k6s2g2Q4x3X3g2U0L8$3#2Q4x3V1j5#2y4r3y4D9L8%4N6F1i4K6u0r3j5X3I4G2k6#2)9J5c8X3W2@1k6h3#2Q4x3V1j5^5j5h3c8U0j5X3t1I4k6h3g2X3j5h3t1#2k6e0k6T1k6U0M7J5y4r3f1@1x3U0u0Q4x3X3g2Z5N6r3#2D9
可能是系统的原因，因为楼主的程序我跑到OEP并Dump后没有出现该现象
结合这篇文章和楼主的具体情况，Patch如下代码试试：

pushad       <=新OEP
mov esi,00401000
MOV EBP,DWORD PTR DS:[ESI+2E8CC4]        ; kernel32.VirtualProtect
LEA EDI,DWORD PTR DS:[ESI-1000]
MOV EBX,1000
PUSH EAX
PUSH ESP
PUSH 4
PUSH EBX
PUSH EDI
CALL EBP
LEA EAX,DWORD PTR DS:[EDI+22F]
AND BYTE PTR DS:[EAX],7F
AND BYTE PTR DS:[EAX+28],7F
POP EAX
PUSH EAX
PUSH ESP
PUSH EAX
PUSH EBX
PUSH EDI
CALL EBP
POP EAX
JMP 脱壳后的OEP

其实这就是UPX壳的后面几句代码，不知能不能帮到你。

应该是 VC8 以上的程序吧？脱壳后重建原始的区段，第二个 .rdata 段的特征值设为 40000040 即可。

明明是启动以后内存里第一个段的写标志.

楼上二位大牛，麻烦解说下该问题的原因。。。

想起一件事

QQ安装程序，还有一些install安装包。中了机器狗病毒就提示这个，杀掉了，依旧会提示。