作者:Fly2015
吾爱破解论坛培训第一课选修作业练习的第7题。这个壳没听说过，但是脱起来比较简单，根据ESP定律即可直达光明，Dump出原来的程序。
老规矩，首先对需要脱壳的程序进行查壳处理。
使用DIE查壳的结果，程序加的是RLPack壳并且原程序是用微软编译器编译的。
OD载入加壳程序进行调试分析，入口点代码反汇编快照。
看到PUSHAD指令想都不要想，直接ESP定律脱壳。F8单走一步在ESP寄存器上设置硬件写入断点，然后F9运行程序，程序自然断在刚才设置的硬件断点处。
显然JMP指令的跳转地址就是原来程序的OEP地址。F7跟过去，就可以看到熟悉的入口点反汇编代码。
OK，现在可以使用Load PE结合ImportREC工具进行程序的进程Dump和IAT表的修复了。
运行一下脱壳完成的程序，证明脱壳成功。
手动脱RLPack壳实战的文档和脱壳后程序的下载地址：http://download.csdn.net/detail/qq1084283172/8900731