本次脱壳的测试对象是CodeLib 2 V14.9.2468.42911 更新日期是2006-10-5 目前的最新版本。

运行脱机程序到如下界面：



选中列表中的第二项，codelib.exe，选择一个保存路径，点击dump按钮，即可完成脱壳。
脱壳完的程序保存到codedump.exe。

注意这个文件是直接dump脱壳的结果，不能直接运行。
使用ildasm 反编译，然后打开il文件
查找 IL_0000:  call       void InFaceMaxtoCode::Startup()
替换为 //IL_0000:  call       void InFaceMaxtoCode::Startup()
即取消对 maxtocode 运行库的引用。
然后运行 ilasm 编译成exe文件。
放在codelib的安装目录中即可正常运行了。


下载地址：codelib_dumped.rar
对 codelib注册算法有兴趣的可以下载回去研究研究。
注意：先重命名安装目录中的codelib.exe，然后解压缩放进去就可以运行了。
这个程序里面还有很多anti，不过都不重要了，可以通过直接修改il来去掉anti。

脱壳机暂时不准备公开，DRT小组内部共享。
这次先简单介绍一下原理，下次有机会再详细介绍一下如何实现通用的内存程序集dumper。
这个dumper首先按照 pe dumper的原理，从内存里面dump出pe文件。
然后在在pe文件中增加一个只读的锻。用来放dump出来的il码。
通过前面几篇帖子介绍的方法，利用net 2.0的新特性取道方法的methodbody，
然后重建header，datatable，将结果存入新锻中，再修改相应method的rva指向新的header。

对所有的方法都这样处理一遍，即可完成dump。

这种方式对压缩壳，加密壳都有效。