脫殼app之後找不到指定演算法

⑴ 什麼是脫殼，有什麼用

什麼是加殼，什麼是脫殼，什麼是資源釋放：
加殼：其實是利用特殊的演算法，對EXE、DLL文件里的資源進行壓縮。類似WINZIP 的效果，只不過這個壓縮之後的文件，可以獨立運行，解壓過程完全隱蔽，都在內存中完成。解壓原理，是加殼工具在文件頭里加了一段指令，告訴CPU，怎麼才能解壓自己。現在的CPU都很快，所以這個解壓過程你看不出什麼東東。軟體一下子就打開了，只有你機器配置非常差，才會感覺到不加殼和加殼後的軟體運行速度的差別。你的機器配置很差么？喔，恭喜你。你將可能無法忍受等會你照我說的方法加殼後的軟體的運行速度~~：）

資源釋放：這個，我其實也說不太明白^_^ ，應該就是利用軟體運行之後[已經被CPU 在內存中解壓]這個機會，提取出內存中的軟體資源。FreeRes這個工具，就是提取出資源，並可以重新建立一個可以編輯的資源，主要用在漢化領域，用來釋放資源後再進行漢化工作。
脫殼，是完全破除壓縮後軟體無法編輯的限制，去掉頭部的解壓縮指令，然後解壓出加殼前的完整軟體。這樣，你就可以對其「動刀」了。

⑵ 用反匯編工具破解軟體時最重要的步驟和破解方法

跟到程序內容的時候
最重要的必然是"_fmlyht"所說的調用(CALL)和跳轉了
調用看的是所執行的功能函數
跳轉則是看的程序走向於條件判斷

但首要問題往往是如何看到程序內容
所以第一個要務必然是脫殼
壓縮殼好辦，大都能用ESP定律脫掉
即便不行，單步跟進也都OK～～
而且壓縮殼大多都有專門的脫殼機
加密殼就費勁了，必須要根據代碼研究演算法，再通過演算法還原
而且不少加密殼中帶有Ati-Debug功能來反調試。
需要做一些隱藏工作（OD的很多插件都可以實現隱藏，效果不一）

脫殼之後也不是萬事大吉了
在程序主體代碼中也有可能夾雜一些花指令（JunkCode）
要知道如何去除花指令的干擾。
當然，程序中夾雜的不是花指令而是虛擬機保護……
就你提的問題所見你的水平可以直接放棄掉了……太難了……

說到頭，如果你只是拿一些簡單的CrackMe練手，那怎麼都好說
直接搜索字元串然後下斷跟進都OK～
但如果你要做真實的破解
那對抗各種各樣的保護手段是無法避免的……
等你能對大部分常見的保護手段應付自如的時候，
具體怎麼破解就不用別人教了～

⑶ 脫殼一個軟體之後能對它幹嘛

脫殼一個軟體之後應該不能看到它的源代碼，但是通過有些工具可以對它進行有限的修改。

⑷ 軟體脫殼的問題

軟體編寫以後有些人為了防止被破解或者其他目的就給軟體加上殼.

所謂殼其實也就是一種壓縮演算法,可以將程序壓縮

當然這個壓縮不同於 WinRAR 的那個壓縮.例如假設一個程序是100KB

用UPX壓縮後大概是 40-60KB 壓縮好後你再用WinRAR 壓縮可能就只有10+KB了

他的原理很簡單,先將本身的程序壓縮,然後當對方運行時,先將本身程序放入內存,在內存中釋放出來,當然這個解壓速度非常快,基本感覺不出來.

但是程序未運行的時候是經過壓縮的所以就可以避免被破解等.

下面是關鍵了:
什麼是脫殼,一個軟體經過壓縮了以後速度會略微變慢,有些人出於提速,或者其他如破解目的,需要對軟體進行脫殼,那麼如何脫呢.

一般每個殼壓縮演算法都不一樣(好象是廢話)只要掌握其演算法就可以逆推,達到脫殼的目的,這個只是一種比較常見的方法.

一些人還有中比較通用的方法,就是先將程序執行,這樣程序在內存中被解壓,然後將內存中的數據抓出來,保存到硬碟,這個方法基本所有殼通殺.

已經回答了2個了.

至於脫殼程序和沒脫的(條件是軟體有殼的情況下)

一般有殼程序運行速度會略微比較慢,程序大的比較明顯.

加了殼的程序一般比較小.

另外就是加了殼的不容易被破解,

大致區別就這些了.

⑸ 如何對軟體脫殼

脫殼主要有兩種方法：硬脫殼和動態脫殼。
第一種，是硬脫殼，這是指找出加殼軟體的加殼演算法，寫出逆向演算法，就像壓縮和解壓縮一樣。由於現在的殼有加密、變形、虛擬環境等等特點，每次加殼生成的代碼都不一樣。硬脫殼對此無能為力，
第二種，是動態脫殼。加殼的程序運行時必須還原成原始形態，就是加殼程序運行後必須進行解壓到程序的文件頭。所以我們可以用OD跟蹤到OEP的原因。這個時候我們就可以抓取（Dump）內存中的鏡像，再重構成標準的執行文件。這樣我們就脫殼了。
(PS:現在的加密殼更復雜一

所謂加殼，是一種通過一系列數學運算，將可執行程序文件或動態鏈接庫文件的編碼進行改變（目前還有一些加殼軟體可以壓縮、加密驅動程序），以達到縮小文件體積或加密程序編碼的目的。
當被加殼的程序運行時，外殼程序先被執行，然後由這個外殼程序負責將用戶原有的程序在內存中解壓縮，並把控制權交還給脫殼後的真正程序，這就是我們找OEP的原因了。一切操作自動完成，用戶不知道也無需知道殼程序是如何運行的。一般情況下，加殼程序和未加殼程序的運行結果是一樣的。由於這段程序和自然界的殼在功能上有很多相同的地方，基於命名的規則，就把這樣的程序稱為「殼」了。

⑹ 軟體怎麼脫殼

加殼的全稱應該是可執行程序資源壓縮，是保護文件的常用手段。加殼過的程序可以直接運行，但是不能查看源代碼。要經過脫殼才可以查看源代碼。
加殼是利用特殊的演算法，對EXE、DLL文件里的資源進行壓縮、加密。類似WINZIP 的效果，只不過這個壓縮之後的文件，可以獨立運行，解壓過程完全隱蔽，都在內存中完成。它們附加在原程序上通過Windows載入器載入內存後，先於原始程序執行，得到控制權，執行過程中對原始程序進行解密、還原，還原完成後再把控制權交還給原始程序，執行原來的代碼部分。加上外殼後，原始程序代碼在磁碟文件中一般是以加密後的形式存在的，只在執行時在內存中還原，這樣就可以比較有效地防止破解者對程序文件的非法修改，同時也可以防止程序被靜態反編譯。
殼的類型通常分為壓縮殼和加密殼兩類。壓縮殼的特點是減小軟體體積大小，加密保護不是重點。加密殼種類比較多，不同的殼側重點不同，一些殼單純保護程序，另一些殼提供額外的功能，如提供注冊機制、使用次數、時間限制等。

⑺ 脫殼能獲得源代碼嗎

加殼的全稱應該是可執行程序資源壓縮,是保護文件的常用手段.
加殼過的程序可以直接運行,但是不能查看源代碼.要經過脫殼才可以查看源代碼.
加「殼」其實是利用特殊的演算法，對EXE、DLL文件里的資源進行壓縮。類似WINZIP 的效果，只不過這個壓縮之後的文件，可以獨立運行，解壓過程完全隱蔽，都在內存中完成。解壓原理，是加殼工具在文件頭里加了一段指令，告訴CPU，怎麼才能解壓自己。加「殼」雖然增加了CPU附帶但是減少了硬碟讀寫時間，實際應用時加「殼」以後程序運行速度更快（當然有的加「殼」以後會變慢，那是選擇的加「殼」工具問題）。
一般軟體都加「殼」這樣不但可以保護自己的軟體不被破解、修改還可以增加運行時啟動速度。
加「殼」不等於木馬，我們平時的巨大多數軟體都加了自己的專用「殼」。
RAR和ZIP都是壓縮軟體不是加「殼」工具，他們解壓時是需要進行磁碟讀寫，「殼」的解壓縮是直接在內存中進行的，用RAR或者ZIP壓縮一個病毒你試試解壓縮時殺毒軟體肯定會發現，而用加「殼」手段封裝老木馬，能發現的殺毒軟體就剩不下幾個。

因為加殼了之後等於把這個文件進行了保護(就是有些殺毒軟體殺不了的原因)
因為文件不能重復加殼.判斷依據是文件是否已經加了保護

加殼其實主要就有兩個作用：
防止反編譯（破解軟體）和免殺
修改文件不一定要脫殼，看你的水平
些軟體加殼工具

1、軟體防盜版戰士

《軟體防盜版戰士》是一個以數字許可的形式為MicrosoftWindows下（PE格式）應用程序提供版權保護以及數字化銷售支持的純軟體產品。它含有認證版、序列號版這兩個可選版本。認證版以128位二進制證書文件作為被保護軟體的最終用戶使用許可，並且主要以最終用戶的硬碟、CPU、網卡及操作系統等特徵信息為版權保護的安全源（保守地說，理論上認證版的版權保護強度達到3-5年內不可破解）。

安全指標：1、對象安全強度——《軟體防盜版戰士》的各種對象安全都盡可能地加入了加密演算法中，其強度相當於對稱演算法的128位加密，比普通硬體狗的8位、16位、32位和64位（很少有64位的）安全強度強許多。2、入口安全強度——《軟體防盜版戰士》採用功能相關法解決入口安全問題。入口安全的最小復雜度大於40位的安全強度。《軟體防盜版戰士》的入口安全強度最大限定為128位（含128位）。

2、比泰軟體防盜版戰士2005J

比泰軟體防盜版戰士2005J（BS-APC），是比泰科技出品的一個軟體加密保護產品系列（含L版、A版、J版等產品線），它們為商業軟體提供可靠的防盜版保護並支持數字化發行。|它採用比泰公司世界領先的「執行代碼抽取加密」技術，軟硬體結合，以「認證技術」保證軟體「對象安全」、以「功能相關法」保證軟體「入口安全」、以具有唯一性的計算機（物理）特徵數據作為身份認證指紋，並以軟體用戶計算機本身的運算能力進行防盜版保護。具有64位以上，到128位的加密安全強度。安全強度遠勝傳統的外殼加密式加密狗、API內嵌式加密狗，軟體保護的功能范圍及運行效率超過智能狗，且無須學習加密狗編程，不引入附加硬體維護問題。|適合對C/MFC/VisualC++(VC++)/BorlandC++Builder(BCB)、Delphi/ObjectPascal、PowerBuilder(PB)、Authorware、Director等開發工具所編譯程序的保護。|因為它是對真實指令進行代碼抽取加密，因此暫不保護偽編譯程序，如VB、VFP、C#、java。

3、AntiCrackProtector

ACProtect是由國人研究開發並擁有自主知識產權的加密軟體精品,它有許多技術已經達到並超過了國外同類產品,是一個為Windows下的EXE/DLL/OCX/SCR等32位可運行文件加密系統。它通過為程序加上一層堅硬的保護殼,可以非常有效的防止盜版。還可以為程序設置限制注冊功能。

即使你沒有程序的原代碼,你也可以用ACProtect在程序上加上運行次數限制，運行天數限制，運行有效日期限制。通過公匙加密演算法(RSA)創建並校驗注冊KEY，只有在RSAKEY正確的情況下,才對那些受保護的代碼進行正常解碼。同時使用了內嵌式加密，可以有效的防止加密軟體從內存中被抓取，也就是無法被脫殼。

內置反調試引擎，有效的增加了破解的難度。

專用的API系統，可以使ACProtect和你的軟體緊密的接合在一起，這樣，你就可以通過使用ACProtect來創建你的全功能評估版。

4、XQBOX軟體保護安裝系統

XQBoxSoftwareProtecting是一個以數字許可的形式為應用程序提供版權保護以及數字化銷售支持的純軟體產品。它採用機器具有唯一性的數據做指紋，利用宿主計算機的運算能力進行防盜版保護。

XQBox保護系統是集軟體保護和安裝工具於一身的集成工具。XQBox核心代碼是遵守標准c的規則來編寫，它可以在，windows3.x/9x/2000/nt，unix，linux等各種操作系統下編譯運行。作為中間件，它可在c、c++、java、delphi、vc、vb、vf、Masm32、pb、php、Authorware等。各種工具開發的軟體中嵌入使用，它的兼容性非常好。核心代碼經全域均勻抽值測試，各種特值測試和可行的全域測試均通過。

5、秦贏甲胄反盜版加密軟體

這款反盜版軟體的用戶注冊方便，終端用戶不需要手動輸入序列號認證碼等等，一切由注冊端軟體自動完成；用戶機器的硬體信息作為注冊碼/加密密鑰；一個拷貝只能在同一台機器上注冊；只要是同一台機器，可以在這台機器上注冊多次；只能在注冊的那台機器上運行

使用理論上安全的密碼學協議和演算法，保證不可離線破解。不能通過注冊機破解；不能通過散發序列號破解。

更改檢測(可以檢測病毒和破解者更改)；反跟蹤功能（Anti-Debug）。

運行時代碼完整性校驗，可防止Cracker跟蹤時設置斷點；可防止通過補丁程序破解。

反Dump功能（Anti-Dump）；反反匯編功能（Anit-Disassembler）；可以有效的管理經銷商和序列號的發放；可以統計軟體的銷售數量；可以有效的管理用戶注冊。

6、PE加密保護軟體EncryptPE

EncryptPE能加密保護常規PE文件（EXE、DLL、OCX等一般程序或NT服務程序），防靜態分析修改，反動態跟蹤調試，有效地保護軟體，防止盜版。除常規的對抗調試器（SoftIce、TRW、OllyDbg等）、監視器、DUMP工具方法外，EncryptPE採用的加密保護的手段還有：隨機加密演算法、CRC校驗、變形、代碼替換、進程注入、APIHOOK、多線程、調試運行、全程監控等。

能將普通軟體變成共享軟體，增加定時注冊提醒、限制試用日期、限制試用次數、限制試用天數、限制每次試用多長時間等功能。

能根據最終用戶的機器信息、注冊用戶及加密時的保護密碼計算注冊碼，從諸多加密演算法中隨機選擇一種用於注冊碼的計算。

支持多語言，並為待加密軟體提供多語言介面。

向待加密軟體提供豐富的方便的編程介面，便於設計個性注冊方式，同時使被加密程序與加密殼之間融為一個整體，增加破解難度。

可以運行於多種Windows平台，包括9X/ME/NT/2000/XP/2003。

7、注冊碼生成器

本軟體可以自動隨機生成2至32位注冊序列號及對應的注冊碼，並將這些注冊信息包含到一個動態聯接庫DLL文件中，這樣軟體開發者可以將這個DLL文件同應用程序一並發行，並在應用程序的相關模塊中調用這個DLL文件中提供的函數獲得注冊號及相對應的注冊碼，注冊號及相對應的注冊碼對軟體使用者來說是不透明的，它可以用效的避免軟體的盜版及其重復注冊，切實保護軟體開發者的版權。隨軟體一同提供免費的DLL源程序生成器工具，DLL注冊碼查詢工具，啟動應用程序時的注冊對話框示常式序及全部C++源代碼等。

8、計算機軟體防盜版

計算機軟體防盜版系統具有國際領先水平的保護知識產權的新技術。現該技術已順利完成了全部研製。利用嵌入式加密，動態激活解密，工具化設計特徵，檢測體系，產品形態技術。於1999年7月通過公安部計算機信息安全檢測中心的檢測。計算機軟體防盜版磁碟、光碟獲公安部頒發的計算機信息安全產品銷售許可證。

⑻ 爬蟲為什麼要學習app脫殼技術

爬蟲，正常來說，不需要，不涉及，app脫殼技術。

估計你是說，安卓app方面的爬蟲，在抓包期間，可能遇到，app加殼了，要破解後，才能反編譯，破解，搞懂內部實現邏輯。才能繼續抓包和分析。所以：要學習app脫殼技術。

此處不給帖地址，請自己用（google）搜：

安卓應用的安全和破解

即可找到我的教程：

供參考。

⑼ 軟體如何脫殼

步驟1 檢測殼

殼的概念：
所謂「殼」就是專門壓縮的工具。
這里的壓縮並不是我們平時使用的RAR、ZIP這些工具的壓縮，殼的壓縮指的是針對exe、com、和dll等程序文件進行壓縮，在程序中加入一段如同保護層的代碼，使原程序文件代碼失去本來面目，從而保護程序不被非法修改和反編譯，這段如同保護層的代碼，與自然界動植物的殼在功能上有很多相似的地方，所以我們就形象地稱之為程序的殼。

殼的作用：
1.保護程序不被非法修改和反編譯。
2.對程序專門進行壓縮，以減小文件大小，方便傳播和儲存。

殼和壓縮軟體的壓縮的區別是
壓縮軟體只能夠壓縮程序
而經過殼壓縮後的exe、com和dll等程序文件可以跟正常的程序一樣運行

下面來介紹一個檢測殼的軟體
PEID v0.92
這個軟體可以檢測出 450種殼
新版中增加病毒掃描功能，是目前各類查殼工具中，性能最強的。
另外還可識別出EXE文件是用什麼語言編寫的VC++、Delphi、VB或Delphi等。
支持文件夾批量掃描

我們用PEID對easymail.exe進行掃描
找到殼的類型了
UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
說明是UPX的殼
下面進行

步驟2 脫殼
對一個加了殼的程序，去除其中無關的干擾信息和保護限制，把他的殼脫去，解除偽裝，還原軟體本來的面目。這個過程就叫做脫殼。
脫殼成功的標志
脫殼後的文件正常運行，功能沒有損耗。
還有一般脫殼後的文件長度都會大於原文件的長度。
即使同一個文件，採用不同的脫殼軟體進行脫殼，由於脫殼軟體的機理不通，脫出來的文件大小也不盡相同。

關於脫殼有手動脫殼和自動脫殼
自動脫殼就是用專門的脫殼機脫 很簡單 按幾下就 OK了
手動脫殼相對自動脫殼 需要的技術含量微高 這里不多說了

UPX是一種很老而且強大的殼 不過它的脫殼機隨處就能找到
UPX本身程序就可以通過
UPX 文件名 －d
來解壓縮 不過這些需要的 命令符中輸入
優點方便快捷 缺點DOS界面
為了讓大家省去麻煩的操作 就產生了一種叫 UPX SHELL的外殼軟體

UPX SHELL v3.09
UPX 外殼程序！
目的讓UPX的脫殼加殼傻瓜化

註：如果程序沒有加殼 那麼我們就可以省去第二步的脫殼了，直接對軟體進行分析了。

脫完後 我們進行

步驟3
運行程序
嘗試注冊
獲取注冊相關信息

通過嘗試注冊 我們發現一個關鍵的字元串

「序列號輸入錯誤」

步驟4
反匯編

反匯編一般用到的軟體 都是 W32Dasm
W32dasm對於新手 易於上手 操作簡單
W32Dasm有很多版本 這里我推薦使用 W32Dasm 無極版

我們現在反匯編WebEasyMail的程序文件easymail.exe

然後看看能不能找到剛才的字元串

步驟5
通過eXeScope這個軟體來查看未能在w32dasm中正確顯示的字元串信息

eXeScope v6.50
更改字體，更改菜單，更改對話框的排列，重寫可執行文件的資源，包括(EXE，DLL，OCX）等。是方便強大的漢化工具，可以直接修改用 VC++ 及 DELPHI 編制的程序的資源，包括菜單、對話框、字元串表等
新版可以直接查看 加殼文件的資源

我們打開eXeScope
找到如下字串符

122,"序列號輸入錯誤 "
123,"恭喜您成為W ebEasyMail正式用戶中的一員! "
124,注冊成功
125,失敗

重點是122

步驟6
再次返回 w32dasm

* Possible Reference to String Resource ID=00122: "?鰺e?"

但是雙擊後
提示說找不到這個字串符
不是沒有 是因為 "?鰺e?"是亂碼 w32dasm對於中文顯示不是太好
畢竟不是國產軟體

先把今天會用到的匯編基本指令跟大家解釋一下

mov a,b ;把b的值賦給a，使a＝b
call ：調用子程序 ，子程序以ret結為
ret ：返回主程序
je或jz ：若相等則跳轉
jne或jnz ：若不相等則跳轉
push xx：xx 壓棧
pop xx：xx 出棧

棧，就是那些由編譯器在需要的時候分配，在不需要的時候自動清楚的變數的存儲區。裡面的變數通常是局部變數、函數參數等。

我們搜索
Possible Reference to String Resource ID=00122
因為對E文支持很好
我們來到了

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00406F17(C) //跳轉來自 406F17
|

* Possible Reference to String Resource ID=00125: "1%"
|
:004070DD 6A7D push 0000007D
:004070DF 8D4C2410 lea ecx, dword ptr [esp+10]
:004070E3 E8F75A1200 call 0052CBDF

* Possible Reference to String Resource ID=00122: "?鰺e?"
|
:004070E8 6A7A push 0000007A
:004070EA 8D4C2408 lea ecx, dword ptr [esp+08]
:004070EE E8EC5A1200 call 0052CBDF

我們來到

:00406F01 8B876C080000 mov eax, dword ptr [edi+0000086C]這里是對
:00406F07 8B4C2408 mov ecx, dword ptr [esp+08]
:00406F0B 50 push eax//這兩個eax和ecx入棧就比較讓我們懷疑了
:00406F0C 51 push ecx//產生注冊碼
:00406F0D E8AE381100 call 0051A7C0//這CALL里對注冊位應該會有設置
:00406F12 83C40C add esp, 0000000C
:00406F15 85C0 test eax, eax// 檢測注冊位
:00406F17 0F85C0010000 jne 004070DD //不存在注冊位 就會跳到4070DD就會出現那個錯誤的字串符了

我們記住406F01這個地址

接著進行下一步

步驟7
這一步我們進行的是調試

用到的軟體是ollydbg

好了我們找到了 注冊碼0012AF04 00FD4A10 ASCII ""

但是這個並不是我們的主要目的

我們還要做出屬於自己的注冊機

相信這個是很多人夢寐以求的事情

步驟8
製作注冊機

注冊機我們需要的是一個KEYMAKE的軟體
因為2.0是演示版而且停止更新了
所以我們用1.73版

做一個內存注冊機 需要下面幾個資料

中斷地址：406F0C
中斷次數：1
第一位元組：51
指令長度：1

好了 一個完美的注冊機 就產生了
還不趕快發給你的朋友 炫耀一下
保證讓他迷糊死 佩服得你要死
其實最後還有幾個步驟
就是撰寫破文
不過大家都是新手 這個步驟 就去了吧

不知不覺說了這么多廢話 希望能對大家有些作用

⑽ 軟體脫殼後用什麼軟體來修改

第一步，用fi243確定殼的類型，有自動脫殼工具的，用工具脫。否則第二步。

第二步，用bw2k確定程序的真正入口點OEP，不妨記為xxxx；若找不到，請試一試Softice + icemp： 使用Icemp 的/tracex 命令可能找到OEP 的地址；若還找不到，只能手動跟蹤，看你的功力和運氣了。

第三步，用trw裝入（load）程序，下bpx xxxx，g。中斷後用pemp命令脫殼，格式是

pemp c: est est.exe。不能中斷時運行superbpm，選中erase，重復第三步操作。若脫出來的test.exe可以運行，則脫殼完畢，否則第四步。

第四步， 用peditor 修正test.exe，用Import REConstructor v1.2 beta2修復輸入表，參照以下這篇文章

若還是不行，建議你用內存補丁或放棄暴破，去算注冊號吧。

以下以S-Spline 2.04為例，講一講手動脫殼和修復import表的具體操作步驟。S-Spline 2.04

第一步，用fi243確定殼的類型。fi243沒有GUI界面，是命令行程序，用法是這樣：

c:fi243fi s-spline.exe。

Fi已經檢測不出新版asprotect了，所以如果遇到檢測不出的類型，就有可能是asprotect。接著往下做吧。

第二步，用bw2k確定程序的真正入口點OEP，

運行bw2k，面板上的entry point顯示為00000000。按track鈕，再運行s-spline.exe，程序界面出來之後，bw2k的面板上entry point顯示為7e910，這就是入口點了。退出s-spline，我們又邁出了可喜的第二步。

第三步，運行SuperBPM，選中erase（默認為不選中），確保trw能夠中斷。

第四步，運行trw2k，按browse找到並選中s-spline.exe，按loader裝入。下bpx 47e910，g。trw彈出時輸入pemp c: est est.exe，退出trw（不退也行），但不要退出s-spline。在c: est下會找到test.exe。這個程序目前還不能運行，因為它的import表是被加密的。

第五步，用peditor修正test.exe。運行peditor，按browse找到test.exe，確定。再按sections，彈出一個窗口，顯示每個section的信息。在窗口中點右鍵，在彈出菜單中選mpfixer(RS=VS & RO=VO)，提示'DONE'，這時可以關閉peditor了。

第六步，運行ImportREC1.2beta2，在Attach to an Active Process下拉框中選中s-spline.exe，然後在左下方OEP中輸入7e910(就是EP-image base=47e910-400000)，按IAT AutoSearch。出現對話框Found Something!=》