首页
社区
课程
招聘
[旧帖] [求助]esp定律脱壳 找不到真正的出口点 0.00雪花
发表于: 2010-3-13 18:53 1849

[旧帖] [求助]esp定律脱壳 找不到真正的出口点 0.00雪花

2010-3-13 18:53
1849
麻烦大家帮我看下是我那操作错误还是什么?

007EB230 >  60              PUSHAD           //OD载入,程序入口
007EB231    BE 00506C00     MOV ESI,gh0st.006C5000
007EB236    8DBE 00C0D3FF   LEA EDI,DWORD PTR DS:[ESI+FFD3C000]
007EB23C    57              PUSH EDI
007EB23D    EB 0B           JMP SHORT gh0st.007EB24A
007EB23F    90              NOP
007EB240    8A06            MOV AL,BYTE PTR DS:[ESI]

F8 跟进 ------> 右侧寄存器窗口中ESP变成红色 -------->右键 跟随到数据窗口

0012FFA4  7C930208  ntdll.7C930208     //这是数据窗口第一行  我在这断点
0012FFA8  FFFFFFFF
0012FFAC  0012FFF0
0012FFB0  0012FFC4

F9 运行一次 ------>调试   硬件断点   删除

007EB3CF    8D4424 80       LEA EAX,DWORD PTR SS:[ESP-80]  //程序运行到这行了
007EB3D3    6A 00           PUSH 0
007EB3D5    39C4            CMP ESP,EAX
007EB3D7  ^ 75 FA           JNZ SHORT gh0st.007EB3D3
007EB3D9    83EC 80         SUB ESP,-80
007EB3DC  - E9 18DDCAFF     JMP gh0st.004990F9                //按 F4 运行到这里 
007EB3E1    0000            ADD BYTE PTR DS:[EAX],AL
007EB3E3    0000            ADD BYTE PTR DS:[EAX],AL

回车 ------>程序跳到下面第一行

004990F9    E8 DB860000     CALL gh0st.004A17D9                 //程序来到这里
004990FE  ^ E9 79FEFFFF     JMP gh0st.00498F7C
00499103    3B0D 74626100   CMP ECX,DWORD PTR DS:[616274]
00499109    75 02           JNZ SHORT gh0st.0049910D
0049910B    F3:             PREFIX REP:                              ; 多余前缀
0049910C    C3              RETN
0049910D    E9 5D870000     JMP gh0st.004A186F
00499112    8BFF            MOV EDI,EDI
00499114    51              PUSH ECX
00499115    C701 ACB75B00   MOV DWORD PTR DS:[ECX],gh0st.005BB7AC
0049911B    E8 55880000     CALL gh0st.004A1975
00499120    59              POP ECX
00499121    C3              RETN
00499122    8BFF            MOV EDI,EDI
00499124    55              PUSH EBP

问:按照网上教程说的 程序应该来到其真正的入口点才对啊  可是 我试了几次,都是这样,
    
     请帮忙讲解下

非常感谢!

[课程]Android-CTF解题方法汇总!

收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 18
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
esp是栈 esp定律是进出栈平衡 应该是在堆栈窗口下断点 他前面有pushad 应该会断在popad上。
2010-3-13 20:37
0
雪    币: 808
活跃值: (10)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
硬件断点是访问的吗?
2010-3-16 20:37
0
游客
登录 | 注册 方可回帖
返回
//