【转载】x64dbg手脱64位程序upx3.96壳后修复

依然是入门小白贴，大神请跳过吧。

1、x64dbg熟悉
2、寻找OEP
3、脱壳插件Scylla使用
4、修复异常

一、x64dbg打开后如下，简单介绍，全凭OD一一对应相似功能，如有不对，尽情谅解。


如果没有入口点没有停在软件模块，选项-事件后去除系统断点前的选中状态。


系统API断点设置方法，类同OD的Ctrl+N。

二、打开加壳后的64位write.upx3.96(write为Win7系统标配，可下载加壳软件后自制)，我们通过ESP定律找到OEP。


直接F9运行，暂停在这里。

F8单步执行到jmp处，再按一次f8就到了软件OEP处。

三、选择插件-scylla，打开dump窗口，此处已经自动获取了OEP，直接点击dump就好。

保存文件后再单击Autosearch，修复IAT。

一般dump数据和修复IAT后正常应该可以打开了，可是爆了异常。

四、异常修复，我们用x64dbg加载write.upx3.96_dump_SCY。

原因知道了，是因为软件的基址不同，软件找不到正常地址而报错，可是64位软件的基址是动态（ALSR机制），每次加载都不同，可是原程序（未加壳的原程序）可以完成自动修改，我看看源程序的基址和我们脱壳软件有啥不同。

解决补丁思路
1、禁用ALSR机制。
2、加入代码实现自动修改基址。
因为我比较懒，打开studyPE++禁用了ALSR机制，这样每次都用默认基址就能正常打开。

总结，软件脱壳后区段看着和原文件有差异，不够完美，也变大了，需要优化。
ASLR机制禁用只是权宜之计，后续需要编写脚本修复，这个留给大神研究。