一、工具及壳介绍
使用工具：Ollydbg、PEID、ImportREC、LoadPE
FSG壳 2.0：
二、脱壳
2.1、单步跟踪脱壳
- 因为FSG是压缩壳，所以脱壳最应该尝试的是ESP定律，其次就是单步跟踪，使用OD载入程序，发现入口没有
PUSHAD/PUSHFD指令，单步观察堆栈变化
- 程序一开始并没有保存环境，遇到这种情况单步继续跟踪，发现有解密代码的地方
- 继续单步跟踪，不进入CALL，线性分析代码，很快找到了修复IAT的地方。继续跟踪。
找到跳出循环修复IAT的地方，到达跳转到原始OEP的地方。
JMP DOWRD PTR DS:[EBX + 0XC]
- 随后，在原始OEP（4011D2）处dump文件，在使用ImportREC修复IAT即可。
在使用ImportREC修复IAT发现不能完整识别所有的导入函数。
使用OD观察IAT，发现两个模块的函数之间被填充成了FFFFFFFF，末尾填充了7FFFFFFF。
2.2、IAT修复
- 将FFFFFFFF和7FFFFFFF都改为0，在使用ImportREC重新获取。
- 这次成功获取，然后修复转存的文件即可。
三、程序脱壳后运行截图
四、个人总结
通过手工脱壳，了解到FSG壳对IAT表进行了处理，导致使用ImportREC无法识别出全部的IAT，及如何手工修复IAT表使ImportREC识别。