引用：http://blog.csdn.net/qiurisuixiang/article/details/7660448

內(nèi)存鏡像法的步驟

（1）用OD打開軟件

（2）點擊選項——調(diào)試選項——異常，把里面的忽略全部√上。CTRL+F2重載下程序

（3）按ALT+M,打開內(nèi)存鏡象，找到程序的第一個.rsrc.按F2下斷點，然后按SHIFT+F9運 行到斷點，接著再按ALT+M,打開內(nèi)存鏡象，找到程序的第一個.rsrc.上面的代碼段.text（或者CODE）（也就是00401000處），按F2下斷點。然后按SHIFT+F9（或者是在沒異常情況下按F9）， 直接到達(dá)程序OEP

實戰(zhàn)

1 查殼

用PEID查殼的結(jié)果如下圖，可以看出程序加了ASPack2.12的殼

2 尋找OEP

(1)用OD載入該程序

（2）依次選擇OD選項（T）下的調(diào)試設(shè)置（D）子選擇，彈出如下對話框，切到異常選項卡，將忽略下的子項全部勾上

（3）Ctrl + F2重新載入要脫殼的程序，Alt + M打開內(nèi)存鏡像，找到程序的第一個.rsrc.按 F2下斷點，按下F9運行程序

（3）再按ALT+M,打開內(nèi)存鏡象，找到程序的第一個代碼段.rsrc.上面的.text，按F2下斷點， 按下F9運行程序

（3）直接到達(dá)OEP

注：有時候在給軟件脫殼，千心萬苦找到了OEP，卻發(fā)現(xiàn)不是常見的“push ebp”，而是出 現(xiàn)如下圖這種情況，其實這是OD將這段代碼當(dāng)做數(shù)據(jù)了沒有進行反匯編識別，解決方 法是，選中一行右鍵選擇“分析”菜單，選擇“分析”下的“分析代碼”，OEP就會出 現(xiàn)在眼前了

3 脫殼

可以使用OD自帶插件，也可以用LordPE，方法和前面"單步跟蹤法"中使用方法一樣

4 修復(fù)

可以使用ImportFix，方法和前面"單步跟蹤法"中使用方法一樣

?

總結(jié)

以上是生活随笔為你收集整理的破解入门（六）-----实战“内存镜像法”脱壳的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。