系统 ： Windows xp
程序 ： 某游戏客户端
程序下载地址 ：不提供
要求 ： 脱去压缩壳
使用工具 ： OD & PEID & LordPE & Import REC
被感染客户端中的是Ramint蠕虫病毒，感染速度非常快，危害相当大。建议在虚拟机环境下进行逆向分析。
相关资料：
Ramnit(W32.Ramnit)的初始形态是蠕虫病毒，首次出现于2010年，激进的自繁殖策略使其得到迅速传播。一旦入侵计算机，该病毒就会找出本地硬盘和移动硬盘上所有的EXE、DLL、HTM和HTML文件，通过自身副本感染这些文件。
本文参考了这篇帖子的12L回复：
会有一个新段位 rmnet的sfx段
取现在EP地址-（【EP+】得到的偏移数）= 原始OEP 动态劫持脱壳
EP处直接粘贴该二进制
E8 5D ED 2B AD 6C 1C FF E0 静态脱壳
先提取rmnet区段数据。然后取得 EP+328数据用ep减即可。。。然后删除rmnet区段。
客户端入口点在病毒区段，其内容为：
> pushad
E8 call
5D pop ebp
8BC5 mov eax, ebp
81ED 326F0120 sub ebp, 20016F32
0062200F 2B85 sub eax, dword ptr [ebp+]
4C720120 mov dword ptr [ebp+2001724C], eax
0062201B B0 mov al,
0062201D 9E740120 xchg byte ptr [ebp+2001749E], al
3C cmp al,
0F85 DE020000 jnz
按照帖子回复所说静态修改代码，其内容变为：
> pushad
E8 call
5D pop ebp
83ED sub ebp,
0062200A 2BAD sub ebp, dword ptr [ebp+]
896C24 1C mov dword ptr [esp+1C], ebp
popad
FFE0 jmp eax
以上指令找出了oep的位置，并直接跳转进入oep。也就是说，根本不用分析病毒行为，我们直接绕过它就可以。
脱壳时，运行到客户端真正的oep再完整转存内存映像，并在重建输入表的时候选择正确的oep，那么病毒代码就并不会执行。
紧接上部，jmp eax之后来到了程序的upx壳部分：
0060D080 pushad
0060D081 BE mov esi,
0060D086 8DBE 00C0E8FF lea edi, dword ptr [esi+FFE8C000]
0060D08C push edi
0060D08D 83CD FF or ebp, FFFFFFFF
0060D090 EB jmp short 0060D0A2
0060D092 nop
0060D093 nop
0060D094 nop
0060D095 nop
0060D096 nop
0060D097 nop
0060D098 8A06 mov al, byte ptr [esi]
0060D09A inc esi
0060D09B mov byte ptr [edi], al
0060D09D inc edi
0060D09E 01DB add ebx, ebx
0060D0A0 jnz short 0060D0A9
0060D0A2 8B1E mov ebx, dword ptr [esi]
单步执行pushad之后，esp指向0012FFA4 ，键入命令hr 12FFA4下硬件断点，F9运行程序断在此处：
0060D207 8D4424 lea eax, dword ptr [esp-]
0060D20B 6A push
0060D20D 39C4 cmp esp, eax
0060D20F ^ FA jnz short 0060D20B
0060D211 83EC sub esp, -
0060D214 - E9 93D9EFFF jmp 0050ABAC
直接在60D214出下断，跟入真正的oep：
0050ABAC push ebp
0050ABAD 8BEC mov ebp, esp
0050ABAF 6A FF push -
0050ABB1 90C35100 push 0051C390
0050ABB6 60D65000 push 0050D660
0050ABBB :A1 mov eax, dword ptr fs:[]
0050ABC1 push eax
0050ABC2 : >mov dword ptr fs:[], esp
0050ABC9 83EC sub esp,
0050ABCC push ebx
0050ABCD push esi
0050ABCE push edi
0050ABCF E8 mov dword ptr [ebp-], esp
0050ABD2 FF15 A8B15100 call dword ptr [51B1A8] ; kernel32.GetVersion
此时单击菜单Debug->hardware breakpoints删除之前设置的硬件断点。
打开LordPE选择客户端程序并单击右键选择“完整转存”。
保存dump文件之后，再打开输入表重建工具Import REC附加到客户端程序。
填写OEP为“10ABAC”，依次单击“自动查找IAT”、“获取输入表”，最后，单击“修复转存文件”，选中之前的dump文件，则脱壳成功。