6. MASM32的bug和脱壳

VC6中，以下文件libc.lib是静态版，带D的是Debug版，带I的是Import版，带MT的是MultiThread版，带P的是CPP版。

此函数宏的定义有些不同，MASM错把GetEnvironmentStringsA当成了函数

LPCH

WINAPI

GetEnvironmentStrings(

    VOID

    );

LPWCH

WINAPI

GetEnvironmentStringsW(

    VOID

    );

#ifdef UNICODE

#define GetEnvironmentStrings  GetEnvironmentStringsW

#else

#define GetEnvironmentStringsA  GetEnvironmentStrings

#endif // !UNICODE

修改kernel32.inc文件后还要重新生成kernel32.lib，要用到C:\Users\Hang\Downloads\RadASM\masm32\tools\inc2l\inc2l.exe，此文件也有bug，调用ml和link时路径不对，也要修复。

对于压缩壳：

从EP开始运行，第一个push之后，对栈下访问断点，F9运行，直到断在本模块，并看见许多push，pop等恢复现场的操作时，找到jmp XXXX的代码，一般就是跳转到OEP。

如果想dump出无壳程序，停在OEP时dump是好时机，dump之后一般还要修复导入表才能正常使用。脱壳后的文件可以静态分析，也便于打补丁。

1. 先点dump，保存好文件

1. 再点IAT AutoSearch，观察VA和Size是否正确

1. 点Get Imports

1. 最后点Fix Dump，修复之前dump下来的文件

6. MASM32的bug和脱壳

原文：https://www.cnblogs.com/Nutshelln/p/13922589.html