UPX3.03外壳段处理过程全程分析

分析的不是很好，有些东西没表达清楚，大家自己分析一哈，这个程序是我自己写的个进程管理，还没写完。。。。
UPX3.03加壳，加壳时选了加密处理，高级导入保护，模拟系统标准功能，但是再外壳段好像并没见到这几个功能。
先来个CALL公式，等会要用到。具体见附件，自己分析哈

代码:
CALL 地址计算公式:CALL下条指令开始 + E8后面的绝对偏移 = 目标地址

例如 00401B2C是当前地址，5是CALL机器码的长度；E8 CF 00 00 00是机器码

计算： 00401B2C+5+CF=00401C00 E8 CF 00 00 00就是表示CALL 00401C00.

例二： 00401B3B  |.  E8 C0270000            CALL decode.00404300
       00401B3B+5+27C0=00404300，地址就是：CALL 00404300

例三： 00401B5F  |.  E8 3C1B0000            CALL decode.004036A0
       00401B5F+5+1B3C=004036A0，地址就是：CALL 004036A0
00401B5F+5=下条指令开始的地址，向后移动1B3C就是目标指令的开始地址
00417550 > $  60            PUSHAD
00417551   .  BE 15604100   MOV ESI,进程管理.00416015
00417556   .  8DBE EBAFFEFF LEA EDI,DWORD PTR DS:[ESI+FFFEAFEB]      ;  得到代码段的开始地址放在EDI里面
0041755C   .  57            PUSH EDI
0041755D   .  EB 0B         JMP SHORT 进程管理.0041756A
0041755F      90            NOP
00417560   >  8A06          MOV AL,BYTE PTR DS:[ESI]                 ;  现在分析得知00416015这个地址是我们程序代码段的开始地址，被映射到这里了，取出映射的代码的一字节
00417562   .  46            INC ESI                                  ;  指向我们代码的下个字节
00417563   .  8807          MOV BYTE PTR DS:[EDI],AL                 ;  EDI现在是从00401000开始的，把映射的代码放入原来我们代码的地址，那么现在知道在开始代码还原了
00417565   .  47            INC EDI                                  ;  指向我们代码的下个地址，以便存放下个字节
00417566   >  01DB          ADD EBX,EBX                              ;  EBX+EBX，当EBX不等于0的时候就跳，那么下面如果进位加法为0，那么取出下个地址到EBX
00417568   .  75 07         JNZ SHORT 进程管理.00417571
0041756A   >  8B1E          MOV EBX,DWORD PTR DS:[ESI]               ;  00416015这个地址放到EBX里面，
0041756C   .  83EE FC       SUB ESI,-4                               ;  00416015加4
0041756F   .  11DB          ADC EBX,EBX                              ;  进位加法器
00417571   >^ 72 ED         JB SHORT 进程管理.00417560                   ;  向上跳，EBX作为跳不跳的标志，循环处理代码，一个大循环
00417573   .  B8 01000000   MOV EAX,1                                ;  EAX=1
00417578   >  01DB          ADD EBX,EBX                              ;  EBX再加EBX，EBX在这个代码里面作为跳转标志
0041757A   .  75 07         JNZ SHORT 进程管理.00417583
0041757C   .  8B1E          MOV EBX,DWORD PTR DS:[ESI]               ;  ESI指向的地址到EBX
0041757E   .  83EE FC       SUB ESI,-4                               ;  ESI加上4
00417581   .  11DB          ADC EBX,EBX                              ;  进位加法
00417583   >  11C0          ADC EAX,EAX                              ;  进位加法
00417585   .  01DB          ADD EBX,EBX                              ;  EBX+EBX
00417587   .^ 73 EF         JNB SHORT 进程管理.00417578
00417589   .  75 09         JNZ SHORT 进程管理.00417594                  ;  跳转到下面
0041758B   .  8B1E          MOV EBX,DWORD PTR DS:[ESI]
0041758D   .  83EE FC       SUB ESI,-4
00417590   .  11DB          ADC EBX,EBX
00417592   .^ 73 E4         JNB SHORT 进程管理.00417578
00417594   >  31C9          XOR ECX,ECX                              ;  ECX清零
00417596   .  83E8 03       SUB EAX,3                       &n