PE编辑工具ProcDump32

一款老式的PE编辑器。可惜不更新了，己过时，现阶段一般只用来作为PE编辑工具使用。推荐用LordPE其他工具代替它。一个被大众所推荐的执行文件压缩解壳程序，我使用之后觉得还可以

ProcDump32 PE解包器/解密器一款老式的PE编辑器。可惜不更新了，己过时，现阶段一般只用来作为PE编辑工具使用。可对付目前各种压缩软件的压缩档。在这里介绍的是一些通用的方法和工具，希望对大家有帮助。我们知道文件的加密方式，就可以使用不同的工具、不同的方法进行脱壳。下面是我们常常会碰到的加壳方式及简单的脱壳措施，供大家参考： 脱壳的基本原则就是单步跟踪，只能往前，不能往后。

脱壳的一般流程：

查壳->寻找OEP->Dump->修复 找OEP的一般思路如下： 先看壳是加密壳还是压缩壳，压缩壳相对来说容易些，一般是没有异常，找到对应的popad后就能到入口，跳到入口的方式一般为。 我们知道文件被一些压缩加壳软件加密，下一步我们就要分析加密软件的名称、版本。因为不同软件甚至不同版本加的壳，脱壳处理的方法都不相同。

脱壳说实例：

用 Procdump 1.50  来剥 ASPACK 1.07b 的壳 :   

1. 首先，当然也是把 Procdump 解压缩到刚刚的目录 (C:\TRY)   

2. 执行 Procdump ，你会看到如下的视窗 :   

3. 因为我们要剥壳，所以按下 Unpack( 其他的按钮是干什么的，我也不清楚，大概是跟 WIN 的 PE 执行档有关的吧 ):   

4. 由刚刚 TYP 侦测得知， CWView2000 是用 Aspack 1.07b 加的壳，所以理所当然的我们要选择  [Aspack<108] ，选好后，按下 OK( 要选对喔，选错会剥不出来 ):   

5. 此时， ProcDump 会要求你开启你要剥壳的执行档，当然，我们要把路径指到 c:\try\cwview32.exe   

6. 紧接著马上会出现如下的视窗，此时，千万不要按下 [ 确定 ] 。稍微等一下，有耐心一点，你马   上就会看到 CWView2000 被呼叫执行了，此时，将视窗切换至 CWView ，随便使用一二个   功能，然后在不要关掉 CWView2000 之下，按下 [ 确定 ] 钮。 ( 这个按钮是当程式 [ 完全 ] 被载入以后，才要按的 )   

上面这个步骤很重要，如果心急乱按或乱关，你就得重来了。   

7. 按下 [ 确定 ] 后没多久，会出现下面的视窗，并且此时 cwview 会自动被关掉，然后开始剥壳   运算，当出现 Step by step analyzis activated ... 时，过不久， Prucdump 就会要求你键入要输出的   档名 ( 也就壳剥掉以后，原始的卵要存成什么档名 ) ，我这里举例成 unshell.exe ，此时，也代表剥壳成功 !!