UPX加壳的C语言程序手动脱壳后运行无输出问题求助

错误原因 #

• OEP地址填写错误：Scylla的OEP输入框要求填写的是相对虚拟地址（RVA），而非调试器中显示的绝对虚拟地址。你直接填入调试时获取的绝对地址005E14C0，会导致转储后的程序入口指向非法内存地址，执行逻辑异常。
• IAT识别不完整：UPX加壳会对导入表做加密、重定向处理，Scylla自动搜索的IAT可能存在缺失，尤其是msvcrt.dll中的printf/puts等标准输出相关的导入条目未被正确识别，程序运行时无法调用输出函数。
• 重定位表未修复：GCC默认编译的32位Windows程序开启了ASLR（地址空间布局随机化），转储时如果未修复重定位表，程序加载时基址偏移会导致所有内存访问逻辑出错。
• 转储操作流程错误：Dump操作执行前未暂停在OEP位置，或Fix Dump时选错了待修复的转储文件，也会导致最终文件损坏。

解决步骤 #

1. 计算正确的OEP RVA：在x64dbg的内存映射页查看当前EXE模块的镜像基址（通常默认值为0x00400000），用绝对OEP地址减去镜像基址得到RVA，比如0x005E14C0 - 0x00400000 = 0x1E14C0，将该RVA填入Scylla的OEP输入框。
2. 校验导入表完整性：点击IAT Autosearch和Get Imports后，手动检查导入表列表，确认存在msvcrt.dll下的printf或puts条目，如有缺失可以手动指定IAT内存范围重新搜索，或手动添加缺失的导入项。
3. 调整Scylla设置：勾选设置中的「修复重定位表」「移除无效区段」选项，再执行转储操作。
4. 简化调试变量：编译阶段可关闭ASLR减少干扰，编译命令改为：

gcc -m32 -Wl,--dynamicbase=no main.c -o main.exe

5. 对比验证：可以先用UPX自带脱壳命令验证原始加壳文件完整性：

upx -d main-upx.exe -o main-upx-native-unpacked.exe

如果自带脱壳后的程序运行正常，则可以确认问题出在手动转储的OEP或IAT操作环节，重新按照上述步骤操作即可。

内容的提问来源于stack exchange，提问作者Mark Minerov