首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 经典问答
    3. 发新帖
这个程序如何调试dinkey
2014-11-20 22:16 19013

这个程序如何调试dinkey

whshizy 活跃值
2014-11-20 22:16
19013
一个DINKEY sdk的狗信息查询程序，不用调试器运行正常，一用OLLDGB加载就出错，哪位大大可以帮忙分析一下，谢谢
补充一下，这个程序没有压缩加壳，用IDA可以反汇编

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：
收藏
点赞・0
打赏
分享
最新回复 (64)
tragedies
雪    币： 83
活跃值： (158)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
tragedies 2 2014-11-21 09:57
2 楼
0
我这里可以正常调试， 用的是风恋的 OD， 我估计你可能问题出在，1插件限制了， 2.2 调试设置限制到了。

解决方案 ： 1 暂时把插件都移走，并且要清理了，有专门清理OD插件的插件。
                   2 你看看调试设置里面有什么问题没有。

如果这两种还是不行，你就去下个一楼烟雨的工具包，里面OD版本很多，会找到能调试的。。

实在不行私密我，给你解决。
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-21 10:21
3 楼
0
行，我来试试，谢谢，初步打开没有错误提示了，对了，如何给你分？
ziyeziye
雪    币： 0
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ziyeziye 2014-11-21 11:53
4 楼
0
我也尝试一下
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-21 14:44
5 楼
0
不过这个程序好像还有反调试，不能在有些地方设置断点，一下就会非法退出，应该是使用了内存保护VirtualProtect函数，哪位大大看是不是下面这段代码：
00405CAA    50              push eax
00405CAB    A3 E0D14000     mov dword ptr ds:[0x40D1E0],eax
00405CB0    BB 80364000     mov ebx,ddlook.00403680
00405CB5    81E3 00F0FFFF   and ebx,0xFFFFF000
00405CBB    B8 A94C4000     mov eax,ddlook.00404CA9                  ; UNICODE "逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦逦"
00405CC0    2BC3            sub eax,ebx
00405CC2    A3 EDD14000     mov dword ptr ds:[0x40D1ED],eax
00405CC7    68 E9D14000     push ddlook.0040D1E9                     ; UNICODE "@"
00405CCC    6A 40           push 0x40
00405CCE    FF35 EDD14000   push dword ptr ds:[0x40D1ED]
00405CD4    53              push ebx
00405CD5    FF95 47010000   call dword ptr ss:[ebp+0x147]            ; kernel32.VirtualProtect
00405CDB    A1 E0D14000     mov eax,dword ptr ds:[0x40D1E0]
00405CE0    C600 90         mov byte ptr ds:[eax],0x90
00405CE3    C3              retn

00403680 下面这段代码以下就不能使用单步跟踪了，一使用就退出，但按F9执行没有问题
00403680   .  E8 24260000   call ddlook.00405CA9
00403685   .  90            nop
00403686   .  90            nop
00403687   .  90            nop
00403688   .  68 095D4000   push ddlook.00405D09
0040368D   .  64:67:FF36 00>push dword ptr fs:[0]
00403693   .  64:67:8926 00>mov dword ptr fs:[0],esp
00403699   .  CC            int3
0040369A   .  90            nop
0040369B   .  90            nop
0040369C   .  90            nop
0040369D   .  EB 13         jmp short ddlook.004036B2
0040369F      90            nop
004036A0      90            nop
004036A1      90            nop
004036A2      6B            db 6B                                    ;  CHAR 'k'
004036A3      66            db 66                                    ;  CHAR 'f'
004036A4      30            db 30                                    ;  CHAR '0'
004036A5      64            db 64                                    ;  CHAR 'd'
004036A6      40            db 40                                    ;  CHAR '@'
004036A7      20            db 20                                    ;  CHAR ' '
004036A8      73            db 73                                    ;  CHAR 's'
004036A9      64            db 64                                    ;  CHAR 'd'
004036AA      08            db 08
004036AB      00            db 00
004036AC   .  6D            ins dword ptr es:[edi],dx
tragedies
雪    币： 83
活跃值： (158)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
tragedies 2 2014-11-21 16:29
6 楼
0
结贴 就能给分了。
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-21 16:42
7 楼
0
能不能帮忙分析一下这个程序啊
ollyicedg
雪    币： 52
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ollyicedg 2014-11-21 17:00
8 楼
0
看一下脱壳的艺术吧，肯定是设了单步中断了。
tragedies
雪    币： 83
活跃值： (158)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
tragedies 2 2014-11-21 17:05
9 楼
0
00403693   .  64:67:8926 00>mov dword ptr fs:[0],esp
00403699   .  CC            int3
这里有一个中断， 程序会进入异常处理。 你可以手动在下面写上
MOV     AX,4C00
INT     21
让程序返回
tragedies
雪    币： 83
活跃值： (158)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
tragedies 2 2014-11-21 17:07
10 楼
0
另外 不知道你要分析这个程序的什么？，感觉这个程序找不到要分析的啊？
ollyicedg
雪    币： 52
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ollyicedg 2014-11-21 17:10
11 楼
0
看一下脱壳的艺术吧，肯定是设了反单步中断了。
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-11-21 17:59
12 楼
0
emulation
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-11-21 18:02
13 楼
0
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\MultiKey\Dumps\33333333]
"License"=hex:f5,18,09,89,0e,f2,58,17,f5,af,3f,32,88,06,29,12
"DongleType"=dword:00000005
"dinkValue"=dword:4abf93ba
"dinkMemory"=hex:50,1f,3c,98,5d,f3,b0,85,bd,19,7b,c3,f7,c4,e8,e3,1b,fd,b0,3f,\
  5d,4c,b6,2c,a6,f5,c1,95,5e,50,42,f0,00,6e,da,1a,10,d6,f0,36,40,07,74,5b,59,\
  46,9b,10,64,6f,6e,67,6c,65,7e,31,65,78,65,64,65,6e,74,61,6c,7e,31,65,78,65,\
  64,6d,63,6c,69,65,6e,74,65,78,65,64,6d,63,6c,69,65,6e,74,78,78,31,42,42,42,\
  42,ef,d0,33,c7,c2,0c,af,98,a8,18,6b,41,fe,c4,77,63,ef,d4,37,cb,ce,00,ab,94,\
  a8,98,eb,c1,7e,44,77,e3,ef,d4,37,cb,ce,00,ab,94,a8,98,eb,c1,7e,44,77,e3,ef,\
  d4,37,cb,ce,00,ab,94,a8,98,eb,c1,7e,44,77,e3,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,13,a9,19,86,43,e3,29,33,77,6c,44,33,41,db,06,68,c8,45,f2,3e,\
  b9,75,7e,fb,27,1f,15,49,c9,b0,ac,9b,95,6b,c9,c9,91,1d,00,2f,e8,6f,f2,87,dc,\
  97,eb,2c,86,b6,bb,8a,f9,b5,e8,17,d2,77,52,5d,94,9c,b0,8b,40,74,2b,29,72,e3,\
  b8,63,28,2c,c3,e4,cc,eb,36,9e,ba,7e,83,3b,84,bf,2b,11,b6,d7,7f,bd,48,5f,4a,\
  ac,60,7f,dd,79,0d,62,41,35,c1,e7,85,2c,e4,4a,a2,87,06,00,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,\
  5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,4d,5a,\
  4d,5a,4d
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-11-21 18:08
14 楼
0
http://lostdongle.com/sdk/Dinkey.rar

all dsk
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-22 14:54
15 楼
0
to :dentalart
你有multikey64位许可?
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-22 14:59
16 楼
0
看一下脱壳的艺术，确实学习到不少东西，按上面操作可以再进行了，只不过程序好像是动态解密运行的，能不能帮忙看下，我是想看看里面的算法
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-11-24 16:12
17 楼
0
我沒有執照64
但我有一個朋友，誰可以做到這一點，它給了我只有當我看到算法裡面
我也想看看該算法的內
如果你能找到我知道已經看到讓我知道我是2年這個加密狗找
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-11-24 22:27
18 楼
0
我找到了，包括64位multikey注册码
BillBox
雪    币： 7
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
BillBox 2014-11-24 22:57
19 楼
0
表示看不懂  路过加学习下吧
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-12-10 02:03
20 楼
0
max day                                     r value 7
not detect dongle
00401D04      6A 08                   PUSH 0x8  

exec lefth                                   r value 7
not detect dongle
00401C0C      6A 08                   PUSH 0x8
                                                

                                                 r value 7
expiration data     no limit
not detect dongle
00401C69      6A 08                   PUSH 0x8

expiration data
short data  01  
long data   02
00401C9C        6A 02                  PUSH 0x2
上传的附件：
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-12-10 16:36
21 楼
0
dentalart:thanks? 你能把dinky sdk 3.6发给我一份吗？
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-12-10 20:17
22 楼
0
这个程序里面还有反调试，单步运行会出错，应该是INT 3反调试
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2014-12-17 19:41
23 楼
0
no INT3
上传的附件：
whshizy
雪    币： 12
活跃值： (551)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
whshizy 2014-12-19 09:10
24 楼
0
INT 3还是存在，程序始终在运行这个异常：
00405245  /.  55            PUSH EBP
00405246  |.  8BEC          MOV EBP,ESP
00405248  |.  53            PUSH EBX
00405249  |.  57            PUSH EDI
0040524A  |.  56            PUSH ESI
0040524B  |.  8B5D 08       MOV EBX,[ARG.1]
0040524E  |.  F743 04 01000>TEST DWORD PTR DS:[EBX+0x4],0x1
00405255  |.  0F85 20010000 JNZ ddlook3_.0040537B
0040525B  |.  F743 04 02000>TEST DWORD PTR DS:[EBX+0x4],0x2
00405262  |.  0F85 13010000 JNZ ddlook3_.0040537B
00405268  |.  8B75 10       MOV ESI,[ARG.3]
0040526B  |.  8B13          MOV EDX,DWORD PTR DS:[EBX]
0040526D  |.  81FA 04000080 CMP EDX,0x80000004
00405273  |.  74 15         JE SHORT ddlook3_.0040528A
00405275  |.  90            NOP
00405276  |.  90            NOP
00405277  |.  90            NOP
00405278  |.  90            NOP
00405279  |.  81FA 03000080 CMP EDX,0x80000003
0040527F  |.  0F84 A2000000 JE ddlook3_.00405327
00405285  |.  E9 F1000000   JMP ddlook3_.0040537B
0040528A  |>  8B86 B8000000 MOV EAX,DWORD PTR DS:[ESI+0xB8]
00405290  |.  56            PUSH ESI
00405291  |.  3D 522D4000   CMP EAX,ddlook3_.00402D52
00405296  |.  72 7D         JB SHORT ddlook3_.00405315
00405298  |.  90            NOP
00405299  |.  90            NOP
0040529A  |.  90            NOP
0040529B  |.  90            NOP
0040529C  |.  3D 39404000   CMP EAX,ddlook3_.00404039
004052A1  |.  77 72         JA SHORT ddlook3_.00405315
004052A3  |.  90            NOP
004052A4  |.  90            NOP
004052A5  |.  90            NOP
004052A6  |.  90            NOP
004052A7  |.  B1 14         MOV CL,0x14
004052A9  |.  8B3D E7C14000 MOV EDI,DWORD PTR DS:[0x40C1E7]                     ;  ddlook3_.00403CB7
004052AF  |.  81FF 41364000 CMP EDI,ddlook3_.00403641
004052B5  |.  73 0B         JNB SHORT ddlook3_.004052C2
004052B7  |.  90            NOP
004052B8  |.  90            NOP
004052B9  |.  90            NOP
004052BA  |.  90            NOP
004052BB  |.  E8 F4000000   CALL ddlook3_.004053B4
004052C0  |.  EB 0E         JMP SHORT ddlook3_.004052D0
004052C2  |>  BA 522D4000   MOV EDX,ddlook3_.00402D52
004052C7  |.  50            PUSH EAX
004052C8  |.  B0 00         MOV AL,0x0
004052CA  |.  E8 DCEEFFFF   CALL ddlook3_.004041AB
004052CF  |.  58            POP EAX                                             ;  ntdll_1a.771EB459
004052D0  |>  3D 39404000   CMP EAX,ddlook3_.00404039
004052D5  |.  74 3E         JE SHORT ddlook3_.00405315
004052D7  |.  90            NOP
004052D8  |.  90            NOP
004052D9  |.  90            NOP
004052DA  |.  90            NOP
004052DB  |.  B1 14         MOV CL,0x14
004052DD  |.  8BF8          MOV EDI,EAX
004052DF  |.  A3 E7C14000   MOV DWORD PTR DS:[0x40C1E7],EAX
004052E4  |.  81FF 41364000 CMP EDI,ddlook3_.00403641
004052EA  |.  73 0B         JNB SHORT ddlook3_.004052F7
004052EC  |.  90            NOP
004052ED  |.  90            NOP
004052EE  |.  90            NOP
004052EF  |.  90            NOP
004052F0  |.  E8 BF000000   CALL ddlook3_.004053B4
004052F5  |.  EB 0C         JMP SHORT ddlook3_.00405303
004052F7  |>  BA 522D4000   MOV EDX,ddlook3_.00402D52
004052FC  |.  B0 01         MOV AL,0x1
004052FE  |.  E8 A8EEFFFF   CALL ddlook3_.004041AB
00405303  |>  5E            POP ESI                                             ;  ntdll_1a.771EB459
00405304  |.  818E C0000000>OR DWORD PTR DS:[ESI+0xC0],0x100
0040530E  |.  33C0          XOR EAX,EAX
00405310  |.  EB 73         JMP SHORT ddlook3_.00405385
00405312  |   90            NOP
00405313  |   90            NOP
00405314  |   90            NOP
00405315  |>  5E            POP ESI                                             ;  ntdll_1a.771EB459
00405316  |.  81A6 C0000000>AND DWORD PTR DS:[ESI+0xC0],0xFFFFFEFF
00405320  |.  33C0          XOR EAX,EAX
00405322  |.  EB 61         JMP SHORT ddlook3_.00405385
00405324  |   90            NOP
00405325  |   90            NOP
00405326  |   90            NOP
00405327  |>  8B86 B8000000 MOV EAX,DWORD PTR DS:[ESI+0xB8]
0040532D  |.  3D 3A2D4000   CMP EAX,ddlook3_.00402D3A
00405332  |.  74 16         JE SHORT ddlook3_.0040534A
00405334  |.  90            NOP
00405335  |.  90            NOP
00405336  |.  90            NOP
00405337  |.  90            NOP
00405338  |.  3D 392D4000   CMP EAX,ddlook3_.00402D39
0040533D  |.  75 18         JNZ SHORT ddlook3_.00405357
0040533F  |.  90            NOP
00405340  |.  90            NOP
00405341  |.  90            NOP
00405342  |.  90            NOP
00405343  |.  C605 D0C14000>MOV BYTE PTR DS:[0x40C1D0],0x1
0040534A  |>  B1 14         MOV CL,0x14
0040534C  |.  8B3D E7C14000 MOV EDI,DWORD PTR DS:[0x40C1E7]                     ;  ddlook3_.00403CB7
00405352  |.  E8 5D000000   CALL ddlook3_.004053B4
00405357  |>  803D D0C14000>CMP BYTE PTR DS:[0x40C1D0],0x1
0040535E  |.  75 0A         JNZ SHORT ddlook3_.0040536A
00405360  |.  90            NOP
00405361  |.  90            NOP
00405362  |.  90            NOP
00405363  |.  90            NOP
00405364  |.  FF86 B8000000 INC DWORD PTR DS:[ESI+0xB8]
0040536A  |>  818E C0000000>OR DWORD PTR DS:[ESI+0xC0],0x100
00405374  |.  33C0          XOR EAX,EAX
00405376  |.  EB 0D         JMP SHORT ddlook3_.00405385
00405378  |   90            NOP
00405379  |   90            NOP
0040537A  |   90            NOP
0040537B  |>  B8 01000000   MOV EAX,0x1
00405380  |.  EB 2D         JMP SHORT ddlook3_.004053AF
00405382  |   90            NOP
00405383  |   90            NOP
00405384  |   90            NOP
00405385  |>  C746 18 00000>MOV DWORD PTR DS:[ESI+0x18],0x0
0040538C  |.  C746 14 00000>MOV DWORD PTR DS:[ESI+0x14],0x0
00405393  |.  C746 10 00000>MOV DWORD PTR DS:[ESI+0x10],0x0
0040539A  |.  C746 0C 00000>MOV DWORD PTR DS:[ESI+0xC],0x0
004053A1  |.  C746 08 00000>MOV DWORD PTR DS:[ESI+0x8],0x0
004053A8  |.  C746 04 00000>MOV DWORD PTR DS:[ESI+0x4],0x0
004053AF  |>  5E            POP ESI                                             ;  ntdll_1a.771EB459
004053B0  |.  5F            POP EDI                                             ;  ntdll_1a.771EB459
004053B1  |.  5B            POP EBX                                             ;  ntdll_1a.771EB459
004053B2  |.  5D            POP EBP                                             ;  ntdll_1a.771EB459
004053B3  \.  C3            RETN

这段代码是INT 3引发的异常，好像是对内存代码解密
dentalart
雪    币： 0
活跃值： (477)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
dentalart 2015-1-20 20:31
25 楼
0
搜索copyminder說，平等
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回