lracker 噢。那我这边还有一个解决方法。https://bbs.pediy.com/thread-261262.htm 直接开启PowerShell日志即可。查看PowerShell日志就能看到去混淆后的命令 ...

lracker 有例子吗？这个好像是针对iex后面的cmdlet进行还原？ 那和这个方法是否一样呢？“IEX用于将字符串作为命令执行，当去掉IEX后，执行后就会显示原本的字符串” 0d7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2K6L8$3S2#2 ...

Mr.YX 已经提供了版本号，你去搜索下载一下

win7的aslr机制可以这样关掉：

设置如下注册表项并重启系统

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management] "MoveImages"=dword:00000000 

原链接：4f7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7K6y4K6M7@1y4e0m8Q4x3X3b7I4i4K6u0V1x3g2)9J5k6h3S2@1L8h3H3`.

菜鸟问一下，32 -> 64 -> 32 写代码应该怎么写呢？
我是这么写的，然后运行的结果只是输出第一个输出，然后就退出了。
x64dbg调试显示好像是切换的时候出了问题。

```
#include <stdio.h>
int main()
{
    printf("Hello World!\n");
    __asm
    {
        ; 32bit code
        ; ...
        mov eax, 0xA
        ; 32 -> 64
        push    33h
        call    $ + 5
        add     dword ptr[esp], 5
        retf
    }
    // 32bit code
    printf("Hello World! 2\n");
    __asm
    {
        ; 64 -> 32
        call    $ + 5
        ;  mov     dword ptr[rsp + 4], 23h
        ;  add     dword ptr[rsp], 0Dh
        mov     dword ptr[esp + 4], 23h
        add     dword ptr[esp], 0Dh
        retf
    }
    // 32bit code
    printf("Hello World! 3\n");
    return 0;
}
```

Anakin Stone https://bbs.pediy.com/thread-263720.htm 已补充, 请查阅.

xiaohang 你自己都说esp定律了，64位也是一样的道理

6otest upx壳，加载后，往下翻，好像可以直接看到jmp oep