• Armadillo V3.60
  • 标 题：实战Armadillo V3.60标准加壳方式的脱壳——WinXP的Notepad
  • 作 者：骨灰C
  • 时 间：2004年3月08日 03:39
  • 链 接：http://bbs.pediy.com

实战Armadillo V3.60标准加壳方式的脱壳——WinXP的Notepad
现在， Armadillo3.6的脱壳文章还没有，所以昨晚小妹闲着没事，便用Armadillo V3.60专业版加了记事本的壳（XP）。想试试3.6的壳有无不同之处，脱下来，总体感觉标准版的壳和3.4的差不多，所以主要方法还是采用以前那些作者的方法，不同之处，我加以说明。但COPYMEM2的方式应该有了变化，目前正在研究中。 
【调试环境】：WinXP、Ollydbg1.10b、PEiD、LordPE、ImportREC
　　　　　声明，小妹用自己的本本调试的，迅驰CPU1.4G，各位一调试若有其它异常问题请指明，因为本本上调试偶尔会出现一些莫名错误。
【脱壳过程】：

　首选用IsDebug 1.4插件去掉Ollydbg的调试器标志。设置忽略所有的异常选项。
　0103A000 >  60              PUSHAD
                                  ====>进入OD后断在这！
　今天我不用BP GetModuleHandleA的方法，因为在我机上总是返回不到一个有效的地方，所以这里小妹用BP VirtualProtect，虽然按键的次数多一点，但不失为一种稳妥的方法。
在OD的命令行上键入BP VirtualProtect，回车，（注意大小写）。没有任何反应就说明正常。
OK，现在我们先来找OEP。F9一下。出现异常，按两次shit+f9过去。然后断下。接下来就一直按F9吧，按了5次F9，会出现一个对话框，告知在某个地址出错，不知如何绕过。这时点击对话框中的确定按钮。然后按shift+f9越过（其实这是一个AM的未注册程序的提示框，在3.4中，五次下来也会出现异常，但不会停止下来。其实留意一下堆栈，可以看到基地址的信息，因为后面上要加密IAT了），再按f9，共按了33次，程序就运行了，所以为了找到oep，我们可以少按一次，也就是37次，这样程序便不会运行，我们就可以一步一步跟踪到oep了。呵呵。好，重头再来一次，做法和前面的一样，共按37次F9，
取消断点，按ctrl+f9，执行到返回。如下：
00AD3462    5E              POP ESI                                  ; kernel32.VirtualProtect
00AD3463    5F              POP EDI
00AD3464    5B              POP EBX
00AD3465    C9              LEAVE
00AD3466    C3              RETN
可以按F8一步一步过。然后到如下：
00AD264D    A1 6C5AAE00     MOV EAX,DWORD PTR DS:[AE5A6C]
00AD2652    8A80 82370000   MOV AL,BYTE PTR DS:[EAX+3782]
00AD2658    8885 E8D1FFFF   MOV BYTE PTR SS:[EBP-2E18],AL
00AD265E    0FB685 E8D1FFFF MOVZX EAX,BYTE PTR SS:[EBP-2E18]
00AD2665    85C0            TEST EAX,EAX
00AD2667    74 6C           JE SHORT 00AD26D5
00AD2669    8D85 3CD4FFFF   LEA EAX,DWORD PTR SS:[EBP-2BC4]
00AD266F    50              PUSH EAX
00AD2670    6A 01           PUSH 1
00AD2672    FFB5 E0FEFFFF   PUSH DWORD PTR SS:[EBP-120]
00AD2678    8B85 1CEBFFFF   MOV EAX,DWORD PTR SS:[EBP-14E4]
00AD267E    0385 B8FDFFFF   ADD EAX,DWORD PTR SS:[EBP-248]
00AD2684    50              PUSH EAX
00AD2685    FF15 3481AD00   CALL DWORD PTR DS:[AD8134]               ; kernel32.VirtualProtect
00AD268B    C785 40D4FFFF 9>MOV DWORD PTR SS:[EBP-2BC0],94
00AD2695    8D85 40D4FFFF   LEA EAX,DWORD PTR SS:[EBP-2BC0]
00AD269B    50              PUSH EAX
00AD269C    FF15 C080AD00   CALL DWORD PTR DS:[AD80C0]               ; kernel32.GetVersionExA
00AD26A2    83BD 50D4FFFF 0>CMP DWORD PTR SS:[EBP-2BB0],2
00AD26A9    75 2A           JNZ SHORT 00AD26D5
00AD26AB    8D85 3CD4FFFF   LEA EAX,DWORD PTR SS:[EBP-2BC4]
00AD26B1    50              PUSH EAX
00AD26B2    8B85 3CD4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BC4]
00AD26B8    80CC 01         OR AH,1
00AD26BB    50              PUSH EAX
00AD26BC    FFB5 E0FEFFFF   PUSH DWORD PTR SS:[EBP-120]
00AD26C2    8B85 1CEBFFFF   MOV EAX,DWORD PTR SS:[EBP-14E4]
00AD26C8    0385 B8FDFFFF   ADD EAX,DWORD PTR SS:[EBP-248]
00AD26CE    50              PUSH EAX
00AD26CF    FF15 3481AD00   CALL DWORD PTR DS:[AD8134]               ; kernel32.VirtualProtect
00AD26D5    EB 03           JMP SHORT 00AD26DA
00AD26D7    D6              SALC
00AD26D8    D6              SALC
00AD26D9    8DA1 EC4FAE00   LEA ESP,DWORD PTR DS:[ECX+AE4FEC]
00AD26DF    8985 38D4FFFF   MOV DWORD PTR SS:[EBP-2BC8],EAX
00AD26E5    83BD 38D4FFFF 0>CMP DWORD PTR SS:[EBP-2BC8],0
00AD26EC    74 36           JE SHORT 00AD2724
00AD26EE    8B85 38D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BC8]
00AD26F4    8338 00         CMP DWORD PTR DS:[EAX],0
00AD26F7    74 2B           JE SHORT 00AD2724
00AD26F9    8B85 38D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BC8]
00AD26FF    8B00            MOV EAX,DWORD PTR DS:[EAX]
00AD2701    8B00            MOV EAX,DWORD PTR DS:[EAX]
00AD2703    2B05 5C5AAE00   SUB EAX,DWORD PTR DS:[AE5A5C]
00AD2709    8B8D 38D4FFFF   MOV ECX,DWORD PTR SS:[EBP-2BC8]
00AD270F    8B09            MOV ECX,DWORD PTR DS:[ECX]
00AD2711    8901            MOV DWORD PTR DS:[ECX],EAX
00AD2713    8B85 38D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BC8]
00AD2719    83C0 04         ADD EAX,4
00AD271C    8985 38D4FFFF   MOV DWORD PTR SS:[EBP-2BC8],EAX
00AD2722  ^ EB CA           JMP SHORT 00AD26EE
00AD2724    6A 01           PUSH 1
00AD2726    FF35 14DEAD00   PUSH DWORD PTR DS:[ADDE14]
00AD272C    A1 8C55AE00     MOV EAX,DWORD PTR DS:[AE558C]
00AD2731    0305 14DCAD00   ADD EAX,DWORD PTR DS:[ADDC14]
00AD2737    50              PUSH EAX
00AD2738    FFB5 14EBFFFF   PUSH DWORD PTR SS:[EBP-14EC]
00AD273E    E8 69EDFDFF     CALL 00AB14AC
00AD2743    83C4 10         ADD ESP,10
00AD2746    A1 EC4FAE00     MOV EAX,DWORD PTR DS:[AE4FEC]
00AD274B    8985 34D4FFFF   MOV DWORD PTR SS:[EBP-2BCC],EAX
00AD2751    83BD 34D4FFFF 0>CMP DWORD PTR SS:[EBP-2BCC],0
00AD2758    74 36           JE SHORT 00AD2790
00AD275A    8B85 34D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BCC]
00AD2760    8338 00         CMP DWORD PTR DS:[EAX],0
00AD2763    74 2B           JE SHORT 00AD2790
00AD2765    8B85 34D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BCC]
00AD276B    8B00            MOV EAX,DWORD PTR DS:[EAX]
00AD276D    8B00            MOV EAX,DWORD PTR DS:[EAX]
00AD276F    0305 5C5AAE00   ADD EAX,DWORD PTR DS:[AE5A5C]
00AD2775    8B8D 34D4FFFF   MOV ECX,DWORD PTR SS:[EBP-2BCC]
00AD277B    8B09            MOV ECX,DWORD PTR DS:[ECX]
00AD277D    8901            MOV DWORD PTR DS:[ECX],EAX
00AD277F    8B85 34D4FFFF   MOV EAX,DWORD PTR SS:[EBP-2BCC]
00AD2785    83C0 04         ADD EAX,4
00AD2788    8985 34D4FFFF   MOV DWORD PTR SS:[EBP-2BCC],EAX
00AD278E  ^ EB CA           JMP SHORT 00AD275A
00AD2790    68 B851AE00     PUSH 0AE51B8
00AD2795    FF15 8882AD00   CALL DWORD PTR DS:[AD8288]               ; ntdll.RtlLeaveCriticalSection
00AD279B    C705 DCDBAD00 C>MOV DWORD PTR DS:[ADDBDC],0ADE4C4
00AD27A5    6A 01           PUSH 1
00AD27A7    58              POP EAX
00AD27A8    8B4D F0         MOV ECX,DWORD PTR SS:[EBP-10]
00AD27AB    64:890D 0000000>MOV DWORD PTR FS:[0],ECX
00AD27B2    5F              POP EDI
00AD27B3    5E              POP ESI
00AD27B4    5B              POP EBX
00AD27B5    C9              LEAVE
00AD27B6    C3              RETN
这里也很简单，F8一步一步过来就可以了，为了加快速度，可以看到一些jmp是往上跳的，只要将鼠标定位到jmp下面的行，F4直接过来就可以了，接下来一直F8到如下：
01011C73    33C0            XOR EAX,EAX
01011C75    75 18           JNZ SHORT NOTEPAD.01011C8F
01011C77    7A 0C           JPE SHORT NOTEPAD.01011C85
01011C79    70 0E           JO SHORT NOTEPAD.01011C89
01011C7B    EB 0D           JMP SHORT NOTEPAD.01011C8A
01011C7D    E8 720E79F1     CALL F27A2AF4
01011C82    FF15 00790974   CALL DWORD PTR DS:[74097900]
01011C88    F0:EB 87        LOCK JMP SHORT NOTEPAD.01011C12          ; 锁定前缀是不允许的
01011C8B    DB7A F0         FSTP TBYTE PTR DS:[EDX-10]
01011C8E    A0 33618B0D     MOV AL,BYTE PTR DS:[D8B6133]
01011C93    64:A1 040151E8  MOV EAX,DWORD PTR FS:[E8510104]
01011C99    B3 E8           MOV BL,0E8
01011C9B    FFFF            ???                                      ; 未知命
令
看到这些命令不必紧张，仍然F8，继续。
一直到如下要注意了：
01011D4D    8BC0            MOV EAX,EAX
01011D4F    6A 00           PUSH 0
01011D51    E8 6E000000     CALL NOTEPAD.01011DC4
01011D56    83C4 04         ADD ESP,4
01011D59    6A 00           PUSH 0
01011D5B    E8 FBD40100     CALL NOTEPAD.0102F25B
01011D60    83C4 04         ADD ESP,4
01011D63    837D E4 01      CMP DWORD PTR SS:[EBP-1C],1
01011D67    75 11           JNZ SHORT NOTEPAD.01011D7A
01011D69    68 F0000501     PUSH NOTEPAD.010500F0
01011D6E    FF15 14010501   CALL DWORD PTR DS:[1050114]　　　F7进去
01011D74    83C4 04         ADD ESP,4
01011D77    8945 E4         MOV DWORD PTR SS:[EBP-1C],EAX
01011D7A    68 8C050101     PUSH NOTEPAD.0101058C
01011D7F    E8 D7D40100     CALL NOTEPAD.0102F25B
01011D84    83C4 04         ADD ESP,4


　01011D6E要进去，不然就飞了，即使你的机上地址和我不一样也没关系，看到类似上面的结构注意一下就可以。OK，进去。
　00AD44DC    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD44E1    C605 3057AE00 0>MOV BYTE PTR DS:[AE5730],1
00AD44E8    C705 DCDBAD00 F>MOV DWORD PTR DS:[ADDBDC],0ADE6F0        ; ASCII "RA"
00AD44F2    53              PUSH EBX
00AD44F3    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD44F6    56              PUSH ESI
00AD44F7    3348 6C         XOR ECX,DWORD PTR DS:[EAX+6C]
00AD44FA    57              PUSH EDI
00AD44FB    6A FE           PUSH -2
00AD44FD    3348 58         XOR ECX,DWORD PTR DS:[EAX+58]
00AD4500    5B              POP EBX
00AD4501    F6C1 40         TEST CL,40
00AD4504    75 08           JNZ SHORT 00AD450E
00AD4506    6A 01           PUSH 1
00AD4508    E8 8609FEFF     CALL 00AB4E93
00AD450D    59              POP ECX
00AD450E    8B7424 10       MOV ESI,DWORD PTR SS:[ESP+10]
00AD4512    833E 02         CMP DWORD PTR DS:[ESI],2
00AD4515    75 40           JNZ SHORT 00AD4557
00AD4517    6A 00           PUSH 0
00AD4519    E8 E231FEFF     CALL 00AB7700
00AD451E    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD4523    59              POP ECX
00AD4524    8B48 40         MOV ECX,DWORD PTR DS:[EAX+40]
00AD4527    8B50 70         MOV EDX,DWORD PTR DS:[EAX+70]
00AD452A    3348 08         XOR ECX,DWORD PTR DS:[EAX+8]
00AD452D    33CA            XOR ECX,EDX
00AD452F    74 14           JE SHORT 00AD4545
00AD4531    8B78 68         MOV EDI,DWORD PTR DS:[EAX+68]
00AD4534    3378 04         XOR EDI,DWORD PTR DS:[EAX+4]
00AD4537    8B46 18         MOV EAX,DWORD PTR DS:[ESI+18]
00AD453A    33FA            XOR EDI,EDX
00AD453C    2BC7            SUB EAX,EDI
00AD453E    03C1            ADD EAX,ECX
00AD4540    8946 1C         MOV DWORD PTR DS:[ESI+1C],EAX
00AD4543    EB 04           JMP SHORT 00AD4549
00AD4545    8366 1C 00      AND DWORD PTR DS:[ESI+1C],0
00AD4549    FF76 18         PUSH DWORD PTR DS:[ESI+18]
00AD454C    E8 908FFEFF     CALL 00ABD4E1
00AD4551    59              POP ECX
00AD4552    E9 AC000000     JMP 00AD4603
00AD4557    E8 7918FEFF     CALL 00AB5DD5
00AD455C    C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6EC        ; ASCII "RB"
00AD4566    FF15 1481AD00   CALL DWORD PTR DS:[AD8114]               ; kernel32.GetCurrentThreadId
00AD456C    A3 AC56AE00     MOV DWORD PTR DS:[AE56AC],EAX
00AD4571    E8 1537FEFF     CALL 00AB7C8B
00AD4576    6A 00           PUSH 0
00AD4578    E8 648FFEFF     CALL 00ABD4E1
00AD457D    6A 00           PUSH 0
00AD457F    C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6E8        ; ASCII "RC"
00AD4589    E8 7231FEFF     CALL 00AB7700
00AD458E    59              POP ECX
00AD458F    59              POP ECX
00AD4590    E8 4A11FFFF     CALL 00AC56DF
00AD4595    8BF8            MOV EDI,EAX
00AD4597    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD459C    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD459F    3348 40         XOR ECX,DWORD PTR DS:[EAX+40]
00AD45A2    3348 08         XOR ECX,DWORD PTR DS:[EAX+8]
00AD45A5    03F9            ADD EDI,ECX
00AD45A7    8B0E            MOV ECX,DWORD PTR DS:[ESI]
00AD45A9    85C9            TEST ECX,ECX
00AD45AB    75 2F           JNZ SHORT 00AD45DC
00AD45AD    8B78 70         MOV EDI,DWORD PTR DS:[EAX+70]
00AD45B0    E8 2A11FFFF     CALL 00AC56DF
00AD45B5    8B0D 9455AE00   MOV ECX,DWORD PTR DS:[AE5594]            ; NOTEPAD.0104A260
00AD45BB    FF76 14         PUSH DWORD PTR DS:[ESI+14]
00AD45BE    8B51 40         MOV EDX,DWORD PTR DS:[ECX+40]
00AD45C1    FF76 10         PUSH DWORD PTR DS:[ESI+10]
00AD45C4    3351 08         XOR EDX,DWORD PTR DS:[ECX+8]
00AD45C7    FF76 0C         PUSH DWORD PTR DS:[ESI+C]
00AD45CA    33D7            XOR EDX,EDI
00AD45CC    03C2            ADD EAX,EDX
00AD45CE    8B51 68         MOV EDX,DWORD PTR DS:[ECX+68]
00AD45D1    3351 04         XOR EDX,DWORD PTR DS:[ECX+4]
00AD45D4    33D7            XOR EDX,EDI
00AD45D6    2BC2            SUB EAX,EDX
00AD45D8    FFD0            CALL EAX
00AD45DA    EB 25           JMP SHORT 00AD4601
00AD45DC    83F9 01         CMP ECX,1
00AD45DF    75 22           JNZ SHORT 00AD4603
00AD45E1    FF76 04         PUSH DWORD PTR DS:[ESI+4]
00AD45E4    FF76 08         PUSH DWORD PTR DS:[ESI+8]
00AD45E7    6A 00           PUSH 0
00AD45E9    E8 F110FFFF     CALL 00AC56DF
00AD45EE    50              PUSH EAX
00AD45EF    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD45F4    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD45F7    3348 68         XOR ECX,DWORD PTR DS:[EAX+68]
00AD45FA    3348 04         XOR ECX,DWORD PTR DS:[EAX+4]
00AD45FD    2BF9            SUB EDI,ECX
00AD45FF    FFD7            CALL EDI　　―――――　　EDI＝OEP=01006ae0
00AD4601    8BD8            MOV EBX,EAX
00AD4603    5F              POP EDI
00AD4604    8BC3            MOV EAX,EBX
00AD4606    5E              POP ESI
00AD4607    5B              POP EBX
00AD4608    C3              RETN
运行到上面的00AD45FF，EDI＝oep，F7进去，运行LORDPE，dump一下吧，OK，现在
运行ImportREC1.6(请使用1.6，不要使用1.4)   oep填6ae0　OK，提示oep找到了，单击获取输入表，发现有许多函数不认，单击显示非法函数，可以看到第一个不认的是：
RVA：00001004　ptr:00ABBA46　（记住这个，一会儿用得着）
这是因为加密的原因，OK，
我们来找到那个加密的地方。
重新来吧。
先用插件隐藏OD，下BP VirtualProtect断点，越过开头两次异常，按5次F5，点击对话框中的确定按钮，SHIFT＋F9越过，OK，看一下堆栈：
0012BEF0   00AD077C  /CALL 到 VirtualProtect 来自 00AD0776
0012BEF4   01001000  |Address = NOTEPAD.01001000　――――＞目标接近了。
0012BEF8   00007000  |Size = 7000 (28672.)
0012BEFC   00000004  |NewProtect = PAGE_READWRITE
0012BF00   0012D71C  pOldProtect = 0012D71C
记得第一个出错指针是01001004（加上基地址100000）,OK,在内存窗口中，GO定位到01001004 可以看到这片区域都是0，那是因为还没开始加密啊，我们在01001004右击选择断点――＞硬件断点写入――＞Dword　，OK，F9吧，两次后会断到如下：
00AD181A    8B85 20ECFFFF   MOV EAX,DWORD PTR SS:[EBP-13E0]          ; NOTEPAD.01001000
00AD1820    83C0 04         ADD EAX,4
00AD1823    8985 20ECFFFF   MOV DWORD PTR SS:[EBP-13E0],EAX
00AD1829  ^ E9 36FDFFFF     JMP 00AD1564
00AD182E    83BD F4EAFFFF 0>CMP DWORD PTR SS:[EBP-150C],0
00AD1835    0F85 8A000000   JNZ 00AD18C5
00AD183B    0FB685 B0E8FFFF MOVZX EAX,BYTE PTR SS:[EBP-1750]
00AD1842    85C0            TEST EAX,EAX
00AD1844    74 7F           JE SHORT 00AD18C5
停在00AD181A，OK，现在我们找那个地方了，用小妹的一个技巧吧，非常稳的，鼠标滚轮一直往上，呵呵，8秒钟就到了，如下：
00AD1349    FF15 C480AD00   CALL DWORD PTR DS:[AD80C4]               ; kernel32.GetModuleHandleA　　――>>>>>　这是一个重要标志，看到它就停吧。
00AD134F    3985 BCE8FFFF   CMP DWORD PTR SS:[EBP-1744],EAX
00AD1355    75 0F           JNZ SHORT 00AD1366
00AD1357    C785 B8E8FFFF 3>MOV DWORD PTR SS:[EBP-1748],0ADC530
00AD1361    E9 C4000000     JMP 00AD142A
00AD1366    83A5 94E6FFFF 0>AND DWORD PTR SS:[EBP-196C],0
00AD136D    C785 90E6FFFF 4>MOV DWORD PTR SS:[EBP-1970],0ADCB48
00AD1377    EB 1C           JMP SHORT 00AD1395
00AD1379    8B85 90E6FFFF   MOV EAX,DWORD PTR SS:[EBP-1970]
00AD137F    83C0 0C         ADD EAX,0C
00AD1382    8985 90E6FFFF   MOV DWORD PTR SS:[EBP-1970],EAX
00AD1388    8B85 94E6FFFF   MOV EAX,DWORD PTR SS:[EBP-196C]
00AD138E    40              INC EAX
00AD138F    8985 94E6FFFF   MOV DWORD PTR SS:[EBP-196C],EAX
00AD1395    8B85 90E6FFFF   MOV EAX,DWORD PTR SS:[EBP-1970]
00AD139B    8338 00         CMP DWORD PTR DS:[EAX],0
00AD139E    0F84 86000000   JE 00AD142A　　―――＞＞＞每次jmp就可以不加密了。呵呵。
00AD13A4    8B85 90E6FFFF   MOV EAX,DWORD PTR SS:[EBP-1970]
00AD13AA    8B40 08         MOV EAX,DWORD PTR DS:[EAX+8]
00AD13AD    83E0 01         AND EAX,1
00AD13B0    85C0            TEST EAX,EAX
00AD13B2    74 25           JE SHORT 00AD13D9
00AD13B4    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
　但是我们现在改是不用的，必须每次到这的时候就改，我们要走在00AD1349前，OK，重新再来，开头的几步仍然一样。5次F9之后，越过异常框，OK，看一下堆栈：
0012BEF0   00AD077C  /CALL 到 VirtualProtect 来自 00AD0776
0012BEF4   01001000  |Address = NOTEPAD.01001000
0012BEF8   00007000  |Size = 7000 (28672.)
0012BEFC   00000004  |NewProtect = PAGE_READWRITE
0012BF00   0012D71C  pOldProtect = 0012D71C
可以看到00AD0776离我们的目标00AD1349不远了，取消断点，按CTRL＋F9，然后一步一步F8，看到一些jmp往上跳的，可以直接F4过去。很快的就可以到我们的00AD1349了，马上在00AD139E    0F84 86000000   JE 00AD142A　这里下断，按F9吧，断下当然显示不跳了，改一下标志位，使它跳，不要取消断点，继续F9，依此一直下去，OK我大约断了9次，再按一下的时候，OD异常，无法处理进程了，如果是3.4的程序，可以直接拿出Importrec了，可是3.6不行，走到oep吧，怎么走呢，再按一下任何键都飞了，所以第10次当然不能按F9了，9次之后直接下断，BP GetCurrentThreadId　
OK，停下来了，CTRL＋F9，马上：
0AD44F2    53              PUSH EBX
00AD44F3    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD44F6    56              PUSH ESI
00AD44F7    3348 6C         XOR ECX,DWORD PTR DS:[EAX+6C]
00AD44FA    57              PUSH EDI
00AD44FB    6A FE           PUSH -2
00AD44FD    3348 58         XOR ECX,DWORD PTR DS:[EAX+58]
00AD4500    5B              POP EBX
00AD4501    F6C1 40         TEST CL,40
00AD4504    75 08           JNZ SHORT 00AD450E
00AD4506    6A 01           PUSH 1
00AD4508    E8 8609FEFF     CALL 00AB4E93
00AD450D    59              POP ECX
00AD450E    8B7424 10       MOV ESI,DWORD PTR SS:[ESP+10]
00AD4512    833E 02         CMP DWORD PTR DS:[ESI],2
00AD4515    75 40           JNZ SHORT 00AD4557
00AD4517    6A 00           PUSH 0
00AD4519    E8 E231FEFF     CALL 00AB7700
00AD451E    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD4523    59              POP ECX
00AD4524    8B48 40         MOV ECX,DWORD PTR DS:[EAX+40]
00AD4527    8B50 70         MOV EDX,DWORD PTR DS:[EAX+70]
00AD452A    3348 08         XOR ECX,DWORD PTR DS:[EAX+8]
00AD452D    33CA            XOR ECX,EDX
00AD452F    74 14           JE SHORT 00AD4545
00AD4531    8B78 68         MOV EDI,DWORD PTR DS:[EAX+68]
00AD4534    3378 04         XOR EDI,DWORD PTR DS:[EAX+4]
00AD4537    8B46 18         MOV EAX,DWORD PTR DS:[ESI+18]
00AD453A    33FA            XOR EDI,EDX
00AD453C    2BC7            SUB EAX,EDI
00AD453E    03C1            ADD EAX,ECX
00AD4540    8946 1C         MOV DWORD PTR DS:[ESI+1C],EAX
00AD4543    EB 04           JMP SHORT 00AD4549
00AD4545    8366 1C 00      AND DWORD PTR DS:[ESI+1C],0
00AD4549    FF76 18         PUSH DWORD PTR DS:[ESI+18]
00AD454C    E8 908FFEFF     CALL 00ABD4E1
00AD4551    59              POP ECX
00AD4552    E9 AC000000     JMP 00AD4603
00AD4557    E8 7918FEFF     CALL 00AB5DD5
00AD455C    C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6EC        ; ASCII "RB"
00AD4566    FF15 1481AD00   CALL DWORD PTR DS:[AD8114]               ; kernel32.GetCurrentThreadId
00AD456C    A3 AC56AE00     MOV DWORD PTR DS:[AE56AC],EAX
00AD4571    E8 1537FEFF     CALL 00AB7C8B
00AD4576    6A 00           PUSH 0
00AD4578    E8 648FFEFF     CALL 00ABD4E1
00AD457D    6A 00           PUSH 0
00AD457F    C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6E8        ; ASCII "RC"
00AD4589    E8 7231FEFF     CALL 00AB7700
00AD458E    59              POP ECX
00AD458F    59              POP ECX
00AD4590    E8 4A11FFFF     CALL 00AC56DF
00AD4595    8BF8            MOV EDI,EAX
00AD4597    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD459C    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD459F    3348 40         XOR ECX,DWORD PTR DS:[EAX+40]
00AD45A2    3348 08         XOR ECX,DWORD PTR DS:[EAX+8]
00AD45A5    03F9            ADD EDI,ECX
00AD45A7    8B0E            MOV ECX,DWORD PTR DS:[ESI]
00AD45A9    85C9            TEST ECX,ECX
00AD45AB    75 2F           JNZ SHORT 00AD45DC
00AD45AD    8B78 70         MOV EDI,DWORD PTR DS:[EAX+70]
00AD45B0    E8 2A11FFFF     CALL 00AC56DF
00AD45B5    8B0D 9455AE00   MOV ECX,DWORD PTR DS:[AE5594]            ; NOTEPAD.0104A260
00AD45BB    FF76 14         PUSH DWORD PTR DS:[ESI+14]
00AD45BE    8B51 40         MOV EDX,DWORD PTR DS:[ECX+40]
00AD45C1    FF76 10         PUSH DWORD PTR DS:[ESI+10]
00AD45C4    3351 08         XOR EDX,DWORD PTR DS:[ECX+8]
00AD45C7    FF76 0C         PUSH DWORD PTR DS:[ESI+C]
00AD45CA    33D7            XOR EDX,EDI
00AD45CC    03C2            ADD EAX,EDX
00AD45CE    8B51 68         MOV EDX,DWORD PTR DS:[ECX+68]
00AD45D1    3351 04         XOR EDX,DWORD PTR DS:[ECX+4]
00AD45D4    33D7            XOR EDX,EDI
00AD45D6    2BC2            SUB EAX,EDX
00AD45D8    FFD0            CALL EAX
00AD45DA    EB 25           JMP SHORT 00AD4601
00AD45DC    83F9 01         CMP ECX,1
00AD45DF    75 22           JNZ SHORT 00AD4603
00AD45E1    FF76 04         PUSH DWORD PTR DS:[ESI+4]
00AD45E4    FF76 08         PUSH DWORD PTR DS:[ESI+8]
00AD45E7    6A 00           PUSH 0
00AD45E9    E8 F110FFFF     CALL 00AC56DF
00AD45EE    50              PUSH EAX
00AD45EF    A1 9455AE00     MOV EAX,DWORD PTR DS:[AE5594]
00AD45F4    8B48 70         MOV ECX,DWORD PTR DS:[EAX+70]
00AD45F7    3348 68         XOR ECX,DWORD PTR DS:[EAX+68]
00AD45FA    3348 04         XOR ECX,DWORD PTR DS:[EAX+4]
00AD45FD    2BF9            SUB EDI,ECX
00AD45FF    FFD7            CALL EDI　　―――――　　EDI＝OEP=01006ae0

好了，拿出Import1.6　不要1.4了，呵呵，OEP填6AE0　这下可以获取很多函数了，无效的一律CUT吧，好。运行一下吧，OK，然后再拿Lordpe rebuild一下，减小体积吧。呵呵。
感谢　以前写过AM教程的许多人，谢谢所有论坛上的人。