Mensajes

los datos que he sacado son

OEP 1644
rva  49548
sice   2156

Es cierto que hay muuuchos ceros y lo que me mosquea es que en la direccion del dump 849cd4 hay un JMP to SHELL32.SHGetFolderPathW.

¿que estoy haciendo mal?

para que tengo que pasarle el PEExplorer? (perdona mi ignorancia)

Lo primero daros las gracias por vuestro tiempo.
Estoy empezando en esto de la ingeniería inversa y no me canso de leer tutoriales y hacer crackmes, quiero aprender.
Vamos al lio, estoy intentando descomprimir este programa

http://www.alcohol-soft.com/

Analizandolo con Peid  me dice que es un UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]
Anlizandolo con RDG tambien me dice que es un UPX.
Lo intento desempacar con Guipex y me dice que modified/hacked/protected.
Lo abro con Olly y aparentemente si que es un UPX pero entrando en Memoria en lugar de UPX0 y UPX1 pone SSE3 y SSE2.
luego como todos los UPX encuentro facilmente el POPAD y el JMP al OEP (o eso creo).
Intentando reparar la IAT con ImpRec en automatico me dice que ni de coña.
Lo intento hacer a mano buscando el call que me lleva al salto de la memoria y aparentemente va todo bien, pero cuando pongo el inicio y largo en el ImpRec me dice   NO.

Haber si alguien me puede orientar de donde está el truco de este UPX.