手脱ACProtect V2.0(无Stolen Code)
1.载入PEID
ACProtect V2.0 -> risco
2.载入OD
00401000 > 68 00A04000 push ACP_Feed.0040A000 ; //入口点 00401005 68 0B104000 push ACP_Feed.0040100B 0040100A C3 retn 0040100B C3 retn 0040100C 858A 1D04802F test dword ptr ds:[edx+2F80041D],ecx 00401012 - 77 82 ja short ACP_Feed.00400F96 00401014 EE out dx,al
3.命令行输入：”bp GetCurrentProcessId”,然后shift+F9运行，落脚点在这个位置
7C8099B0 > 64:A1 18000000 mov eax,dword ptr fs:[18] ; //落脚点 7C8099B6 8B40 20 mov eax,dword ptr ds:[eax+20] 7C8099B9 C3 retn 7C8099BA 90 nop 7C8099BB 90 nop
4.先取消刚刚下的断点(Bp就是下断的意思)，然后打开LoadPE，查看OD载入的这个程序的进程号也就是PId。我这里是”00000254”，可能不同的机器或者系统打开后显示的不同。
5.然后把步骤三中的代码进行修改，修改落脚点代码，把”mov eax,”后面的那个值改为步骤四中的Pid的值，然后把把原先落脚点下一行的mov代码整个给nop掉。修改完成后的代码变为下图这样：
7C8099B0 > B8 54020000 mov eax,254 ; //落脚点 7C8099B5 90 nop 7C8099B6 90 nop 7C8099B7 90 nop 7C8099B8 90 nop 7C8099B9 C3 retn 7C8099BA 90 nop 7C8099BB 90 nop
6.步骤五执行完之后下第二个断点”BP GetModuleHandleA”,然后shift+F9，落脚点应该是这个位置
7C80B731 > 8BFF mov edi,edi ; //落脚点 7C80B733 55 push ebp 7C80B734 8BEC mov ebp,esp 7C80B736 837D 08 00 cmp dword ptr ss:[ebp+8],0 7C80B73A 74 18 je short kernel32.7C80B754 7C80B73C FF75 08 push dword ptr ss:[ebp+8]
7.取消断点，打开内存界面，在401000的位置下断点然后shift+F9运行，此时会弹出ACProtect的提示框，点一下确定就可以
Memory map, 项目 22 地址=00401000 大小=00002000 (8192.) 属主=ACP_Feed 00400000 区段=CODE 包含=SFX,代码 类型=映像 01001002 访问=R 初始访问=RWE
8.点完确定后就直接来到OEP了，然后使用LoadPE+ImportREC脱壳即可
00402150 55 push ebp ; //OEP 00402151 8BEC mov ebp,esp 00402153 83C4 F0 add esp,-10 00402156 53 push ebx 00402157 B8 10214000 mov eax,ACP_Feed.00402110 0040215C E8 4FFCFFFF call ACP_Feed.00401DB0 00402161 68 C4214000 push ACP_Feed.004021C4 ; ASCII "ACProtect Feedback Form" 00402166 6A 00 push 0 00402168 6A 00 push 0
9.运行查壳
运行OK，查壳：Borland Delphi v3.0