能力值：
( LV2，RANK：10 )
|
-
-
2 楼
没人呢 自己顶吧
|
能力值：
( LV3，RANK：20 )
|
-
-
3 楼
PE头被3个size字段被破坏过，上来效验40c000开始的300多个字节和是否正确，动态解压之后的代码，不正确的话后面解压出来的代码都是错的。之后碰到2个反调试，一个读了fs:[30]，还有一个SetUnhandledExceptionFilter，我就单步到这里，有空继续跟。你要是想弄清楚，就单步一点点看懂就好了
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
已经脱掉，有两处
0040CAE7 66:8138 280A cmp word ptr [eax], 0xA28
0040CAEC 75 23 jnz short 0040CB11
0040CB17 3D 00000070 cmp eax, 0x70000000
0040CB1C 7C 41 jl short 0040CB5F
跳过去就好了
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
脱壳不是一般的麻烦，唉
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
[QUOTE=lizhenzhe;1195893]已经脱掉，有两处
0040CAE7 66:8138 280A cmp word ptr [eax], 0xA28
0040CAEC 75 23 jnz short 0040CB11
0040CB17 3D 00000070 cmp...[/QUOTE]
问下这位大哥 这第二句是什么功能 怎么反调试的 第一个反调试我知道
0040CB11 83C4 04 add esp,0x4
0040CB14 8B0424 mov eax,dword ptr ss:[esp]
0040CB17 3D 00000070 cmp eax,0x70000000 ;eax=7C816FE7
0040CB1C 7C 41 jl XUnPackMe.0040CB5F 不太理解 多谢了
|
能力值：
( LV3，RANK：20 )
|
-
-
7 楼
[QUOTE=怕天亮;1196305]问下这位大哥 这第二句是什么功能 怎么反调试的 第一个反调试我知道
0040CB11 83C4 04 add esp,0x4
0040CB14 8B0424 mov eax,dword ptr ss:[esp]
0040CB17 3D 00...[/QUOTE]
如果不跳走的话接下来就会用SetUnhandledExceptionFilter，然后触发异常，如果有debugger就不会进异常处理例程，具体你可以查SetUnhandledExceptionFilter的msdn
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
多谢大哥了
|
|
|
