前言

拿到一个Demo, 用PEID0.95查壳，没查到, 也侦测不出用啥语言写的.
用IDA载入Demo, 看主函数的流程预览就是一长条.
看Demo中的函数， 除了内存相关的WinApi, 再没有其他有点用的Api。
推测程序被加了壳.
因为不知道这壳的名字，暂且命名为cerber3壳.

脱壳知识点记录

脱壳成功的判定:
Demo是有一定功能的，脱壳后，再运行脱壳后的Demo, 功能和脱壳前相同，说明脱壳成功.

原始的脱壳办法:
从EP开始，单步F7步入，不能F8, 防止跑飞.
遇到call, 不一定要进入，先去call内看看, 如果有call就再去子call内看看.
如果遇到call eax, 这样call 寄存器的call, 就一定要单步跟进去.
看过的call, 重命名成fn_0040xxxx这样的名字，再遇到就不用再进去看了.

遇到循环（向上跳的那种jmp）, 要在循环内找到跳出点(不止一个), 在跳出点的IP处下断(不是在循环里下断).
按F9, 程序跑到循环外的断点。
我循环外下的断点很全，没漏过断点，脱壳一次成功，我都觉得自己很机智:)

脱壳时，用IDA载入了脱壳前的程序，和OD配合。
单步时，突然发现要CALL到0x0090xxxx, 去模块处看看，还是在Demo地址空间内，只不过，好像是跨段了.
单步过去，这段程序已经不在IDA静态分析的范围内，是Demo自己释放出来的.
单步跟，跟到一个call, 步过时, 居然运行了2，3秒，那个call在单步之前去里面看过，除了内存API, 没有其他API.
单步后，知道他干了个大活。应该记录一下那个API, 我当时没意识到。这是一个关键call.
再往下没走几步，看见一个call eax, eax的值是0x0040xxxx, 跨段调转啊，都是套路…
再单步一下，回到0x0040xxxx, 看到了push ebp; mov ebp, esp
这很像OEP了，再往下扫了一眼，嗯，疑似OEP，看到了干活的WinApi, 和正常程序入口点后的代码很像。
虽然看起来不太像VC6写的程序.
就在这个点用OD插件进行Dump.
Dump出来后，将虚拟机回到干净环境, 运行脱壳后的Demo cerber3_dump.exe.v, 可疑看到Demo还是拥有和脱壳前一样的功能, 证明脱壳成功.

脱壳用了不到2个小时, 这次我还是很机智:)
脱壳套路 : 找到跨段跳转点, 回到起始段，就在OEP处开始Dump.

感觉脱壳过程中，节省时间的方法有2个:
* 是步入还是步过CALL
* 是在循环内跟，还是在循环外跳出点上下断点.

调试记录

009404DF                  - FFE0            jmp eax                                          ; C77D3D7B.004024C0004024C0                    55              push ebp
004024C1                    8BEC            mov ebp,esp
004024C3                    83E4 F8         and esp,-0x8
004024C6                    81EC 9C010000   sub esp,0x19C
004024CC                    53              push ebx
004024CD                    56              push esi
004024CE                    57              push edi
004024CF                    33DB            xor ebx,ebx
004024D1                    53              push ebx
004024D2                    FF15 6C014100   call dword ptr ds:[0x41016C]                     ; kernel32.GetModuleHandleW
004024D8                    68 04010000     push 0x104
004024DD                    BE 70D74200     mov esi,C77D3D7B.0042D770
004024E2                    56              push esi
004024E3                    53              push ebx
004024E4                    A3 44D44200     mov dword ptr ds:[0x42D444],eax                  ; C77D3D7B.004024C0
004024E9                    FF15 B8004100   call dword ptr ds:[0x4100B8]                     ; kernel32.GetModuleFileNameW
004024EF                    56              push esi
004024F0                    FF15 7C024100   call dword ptr ds:[0x41027C]                     ; shlwapi.PathFindFileNameW
004024F6                    2BC6            sub eax,esi
004024F8                    D1F8            sar eax,1
004024FA                    40              inc eax                                          ; C77D3D7B.004024C0
004024FB                    50              push eax                                         ; C77D3D7B.004024C0
004024FC                    56              push esi
004024FD                    68 48D44200     push C77D3D7B.0042D448
00402502                    FF15 84024100   call dword ptr ds:[0x410284]                     ; shlwapi.StrCpyNW
00402508                    E8 F3EAFFFF     call <C77D3D7B.szUser32_dll>
0040250D                    8BF0            mov esi,eax                                      ; C77D3D7B.004024C0

备注

用PEID对脱壳后的程序进行查壳，没认出来壳，也没认出是啥语言写的。
用IDA分析脱壳后的程序，说导入表加密了，但是分析后，从函数的数量和start函数的内容，已经看出，这是一个正常的程序, 有很多干活的API.

现在需要对脱壳后的程序进行动态分析，一般壳就加一层。
是不是有第二层壳，或者导入表函数调用是动态的，要单步跟才知道.

从IDA分析后的函数数量上看(318个函数)， 脱壳后的程序已经是一个正常的程序.
200多K的程序，自己写的话，有300个函数，也差不多了.