8 组 IID，RVA 是231F8，大小为8*4*5=160=0A0h，现在把文件 Dump 出来，保存为 dumped.exe

; ---------------------------------------------------------------------------
;     众里寻他千百度
; ---------------------------------------------------------------------------

别忙关闭调试器，接着找 OEP，向下翻页，找可疑指令：

00439ABA   .  0315 80F04300 add     edx, [43F080]
00439AC0   .  8B45 F4       mov     eax, [ebp-C]
00439AC3   .  0350 34       add     edx, [eax+34]
00439AC6   .  2B95 ECFEFFFF sub     edx, [ebp-114]
00439ACC   .  8995 50FEFFFF mov     [ebp-1B0], edx
00439AD2   .  FFA5 50FEFFFF jmp     [ebp-1B0]                        ;  !!!
00439AD8   >  5F            pop     edi
00439AD9   .  5E            pop     esi
00439ADA   .  5B            pop     ebx
00439ADB   .  8BE5          mov     esp, ebp
00439ADD   .  5D            pop     ebp
00439ADE   .  C3            retn

上面都是填充 IAT 的，直觉这里比较像，F4 过去再 F7 跟入，柳暗花明又一村：

00407A23    55              push    ebp
00407A24    8BEC            mov     ebp, esp
00407A26    6A FF           push    -1
00407A28    68 D00B4200     push    00420BD0
00407A2D    68 1CB74000     push    0040B71C
00407A32    64:A1 00000000  mov     eax, fs:[0]
00407A38    50              push    eax
00407A39    64:8925 0000000>mov     fs:[0], esp
00407A40    83EC 58         sub     esp, 58
00407A43    53              push    ebx
00407A44    56              push    esi
00407A45    57              push    edi
00407A46    8965 E8         mov     [ebp-18], esp
00407A49    FF15 DCF14100   call    [41F1DC]                         ; kernel32.GetVersion
00407A4F    33D2            xor     edx, edx
00407A51    8AD4            mov     dl, ah
00407A53    8915 04D24200   mov     [42D204], edx

; ---------------------------------------------------------------------------
;     优化文件
; ---------------------------------------------------------------------------

不言而喻 OEP = 7A23，现在可以让 OllyDbg 休息一下了.

     LordPE 上阵，打开 dumped.exe，修改入口点为 7A23，在数据目录里修改引入表项，RVA = 231F8，Size = A0 重定位是给外壳用的，可以清掉，不过可以让LordPE 替我们做。IAT项似乎是原程序的，可以不修改了。打开区段表，清除 .ex_cod .ex_id .ex_dat

    然后 PE Rebuilder 选上清除重定位表和有效化 PE，对齐文件，重建一下。

    似乎完成了，但是资源不可修改，用 ResFixer Method I 重建一个 .rsrc，进入 LordPE 删除原来的 .ex_rsc 重建，然后从磁盘载入区段，选择刚才的 .rsrc，再次重建，用ResHacker打开看看，资源正确了。以前 heXer 发给我一个 ResFixer 一直没用，今天试试，也可以用 FreeRes 代替，大小差不多。