|
|
|---|---|
|
|
支持，自己还正准备总结下的！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
下来学习
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 直接试验PE-Amor0.49 记事本的壳 脱壳脚本1，并未到达OEP……，程序被挂起……恢复就直接运行了! 而且手动走的路线也与作者不一样呢？从JMP EDX开始就不一样了！    而且从最后一个除0异常到bp LoadLibraryA+5，也不是作者说的地址啊：  在返回地址处下断，并不是直接返回，又发生了一次LoadLibraryA事件……，晕，这次来自于：  当这次调用后才会返回到前面下断的返回地址。 |
|
|
|
|
|
|
|
|
4010cc应该就是OEP，但是过去以后就是call edi等……，用impRec也能修复，修复后变成另一个壳了！
int3 + div 异常后…… bp GetCommandLineA ……  但是能到达这里！我想这里应该就是跳往OEP： EAX=4010cc  这里：  dump后修复也能正常修复，能得到正确IAT，但是PEID查壳还是有壳变成Yoda's的壳了？！！！  有高手能解释解释么？
|
