pespin 是一款非常好用的加壳exe压缩工具，对多种exe文件进行压缩编辑，使用简单有效执行修补。快来绿色资源网下载体验吧！

pespin软件介绍

pespin是一款简单易用功能强大的软件加密程序，它可以为所有的exe，dll程序加密，防止软件被解密。

pespin软件特点

压缩库aplib的版权保护和编码的约根易卜生主页：/

[attach]53605[/attach]

兼容性windows?98/me/nt/2k/xp/vista

pespin使用说明

// 本脚本不支持nanomite修复 ----> hkfans

var sectionbase

mov sectionbase, eip

and sectionbase, fffff000

var codebase

var codesize

var lastexception

gmi eip, codebase

mov codebase, $result

gmi eip, codesize

mov codesize, $result

//========================================================================

// 双进程解除

//=========================================================================

// 对createmutexa的首地址下硬件断点 --- > (不能在首地址下软件断点,有检测)

bphwc

gpa "createmutexa", "kernel32.dll"

bphws $result, "x"

run

bphwc

rtu

bphwc $result

find eip, #9cc12c2406f7142483242401#

bphws $result, "x"

run

bphwc

// 解除双进程,双变成单

mov !zf,1

run

find eip, #f187df57c3#

mov lastexception, $result+1

// int1异常的处理方法,新eip --> 有调试进程(父进程处理的),所以根据debugapi处理

add eip, 1e

run

// 两次特权指令 三次内存异常 都是被调试进程自己处理

_exception:

esto

cmp eip, lastexception

jnz _exception

// 最后一个单步异常, 由调试进程处理的

add eip, 2b

//===========================================================

// ? ?iat 修复

//===========================================================

bphwc

var bp1

var bp2

var bp3

var encrypttable

var miniataddr

var maxiataddr

var iatsize

var comparevalue

var pespinfound

//mov bp1, 010147ef

//mov bp2, 0101402d

//mov bp3, 010149b7

//mov encrypttable, 01014079

find sectionbase, #817e10????????9ceb01#

mov bp1, $result

find sectionbase, #2407f5ff3424 c30 bc0c3#

mov bp2, $result + 7

find sectionbase, #0fba67ff07eb01#

mov bp3, $result + 5

find sectionbase, #3917eb07??eb01#

mov encrypttable, $result + e

// 获取比较的数值

mov comparevalue, bp1+3

mov comparevalue, [comparevalue]

// nop掉比较查找是否加密的表

fill encrypttable, 6, 90

bphws bp1, "x"

bphws bp2, "x"

bphws bp3, "x"

_cycle:

run

// 第一个段点 判读所有 dll是否处理结束

cmp eip, bp1

jnz _bp2label

cmp [esi+10], comparevalue

jz _iatprocessover

jmp _cycle

// 第二个断点保存 iat地址 --> 计算出最大和最新的iat地址(后面用)

_bp2label:

cmp eip, bp2

jnz _bp3label

cmp miniataddr, 0

jnz _label

mov miniataddr, edx

mov maxiataddr, edx

_label:

cmp edx, miniataddr

ja _label1

mov miniataddr, edx

_label1:

cmp edx, maxiataddr

jb _label2

mov maxiataddr, edx

_label2:

jmp _cycle

// 第三个断点 让外壳不重定向api函数

_bp3label:

mov !cf, 0

jmp _cycle

_iatprocessover:

//-----------------------------------------------------------

// ff15 ff25 修复--> ff25 jmp [iat]

//-----------------------------------------------------------

jz exit

inc tmp

mov dest, [tmp]

add dest, tmp

add dest, 4

cmp dest, codebase

jb _fixjmp

jmp _findjmp

_fixjmp:

inc fixjmpcount

// 修复 ? 都是5个字节 --> 可能不止

var b1

var b2

var longjumpdest

var movsize

var movsize1

var movdest

var srcbyte

mov b1, [dest]

and b1, ff

mov b2, [dest+1]

mov [tmp-1], b1

// 注意: 如果进去的 jmp 语句的话(肯定是e9)--> 不能直接搬

cmp b1, e9

jz _islongjump

// 确定需要搬多少个字节--> jmp指令之前

findop dest, #e9#

mov movsize, $result

sub movsize, dest

mov movsize1, 0

mov movdest, tmp-1

// 每个字节拷贝

_movcycle:

cmp movsize1, movsize

jz _movover

mov srcbyte, [dest]

and srcbyte, ff

fill movdest, 1, srcbyte

inc dest

inc movdest

inc movsize1

jmp _movcycle

_movover:

jmp _isnotlongjump

_islongjump:

add longjumpdest, dest

add longjumpdest, b2

add longjumpdest, 4

sub longjumpdest, tmp

sub longjumpdest, 1

sub longjumpdest, 2

mov [tmp], longjumpdest

_isnotlongjump:

add tmp, 4

jmp _findjmp

exit:

bphwc

//=========================================================

// 信息提示

//==========================================================

sub maxiataddr, miniataddr

mov iatsize, maxiataddr+4

var message

mov message, ""

add message, "oep: "

add message, oep

add message, "\r\n"

add message, "iat address: "

add message, miniataddr

add message, "\r\n"

add message, "iat size: "

add message, iatsize

msg message