6A

其实壳本身不要紧，问题是vm里面有个校验。

sm同学手下留情，我勉强能搞一个运行正常的，没精力还原vm了。

在virutalfree的retn上f4, 直到[esp]是一个exe image内的地址f7返回:

0040FA91 B8 BE180000 mov eax, 18BE

0040FA96 BA 00004000 mov