这个jmp调到的地址，就是oep了…upx不是有个特点，一个比较大的夸段后，基本上就是oep呀。

转不过去啊，按F8后没反应，程序倒是运行了，就是od不跳转过去

EIP指向77defc8e了，怎么调试中断了啊？不应该是指向popad的0046AD56吗？程序倒是运行了，怎么用ollydbg跳到入口？

上传的附件：

• 不跳转2.png （15.01kb，2次下载）

你看你软件是拿什么语言写的，每种语言都有入口特征，还有，能把源文件上传么，我也(ˇ?ˇ) 想～玩

你是在0046ad50这一句出问题了？ 上传下文件吧，我看看

ex1.zip

“在Oep处填000578F4,点IT自动搜索,然后点获输入信息,看到输入表全部有效,点修复抓取文件按钮,选择Dump的文件,修复它,正常运行”

push ebp地址004578F4，为为什么oep处填000578F4而不是004578F4？怎么我修复了就不能运行了？

上传的附件：

• ex1.zip （167.35kb，11次下载）
• 上传1.png （411.14kb，2次下载）

UPX 0.89 - 3.xx -> Markus & Laszlo ver. [ 1.01 ] <- from file. ( sign like UPX packer )

载入od 单步到 0046AD50  这一句 在按f8 发现程序跑飞。。。
0046AD4E  ^\EB E1           jmp Xex1.0046AD31
0046AD50    FF96 64AA0600   call dword ptr ds:[esi+0x6AA64]
0046AD56    61              popad

就使用esp定律。。。
重新载入od  
0046AC00 >  60              pushad
0046AC01    BE 00104400     mov esi,ex1.00441000
0046AC06    8DBE 0000FCFF   lea edi,dword ptr ds:[esi+0xFFFC0000]

停在0046AC00，单步按f8 显示esp发生了变化，复制esp的值 我那是0012FFC4，然后在od command处 输入 hr 0012FFC4 ，给0012FFC4下硬件读取断点，按f9让软件运行，然后就停在了0046AD57处 成功跳过了单步跟时在上面call跑飞的问题。。。
0046AD56    61              popad
0046AD57  ^ E9 98CBFEFF     jmp ex1.004578F4
0046AD5C  ^ 74 AD           je Xex1.0046AD0B

在继续f8
004578F4    55              push ebp
004578F5    8BEC            mov ebp,esp
004578F7    83C4 F4         add esp,-0xC
004578FA    B8 AC774500     mov eax,ex1.004577AC

来到这里 就是真正的入口了...

dump出来 在查壳 ，发现是EP code like Delphi/C++ but different structure ...
gameover~
具体原因我不晓得，遇到几个upx壳的，单步跟就会跑飞，但是给esp下断，就能到，不知道为啥~ 求大神解惑！

至于你说的那个000578F4 ，这应该是文件偏移还是啥，exe 的pe结构 地址是从0开始的，但是应用程序执行后，就有了一个baseaddress 。在程序虚拟内存地址中，代码的地址就变成了 baseaddress+偏移~ 这里 baseaddress是00400000，并不是所有程序baseaddress 都是这个值

你dump出来的文件能运行吗？

可以运行。

上传了~

好吧 附件没搞上 ，不会上传了

一般怎么dump啊？我搞出来没法运行

004578F4    55              push ebp 选中这个地址，插件 ollydump -》 脱壳在当前调试进程-》

点一下获取eip作为oep... 下面可以选方式1，也可以选方式2，建议都弄一个... 我就选了方式1
然后点击脱壳...

上传的附件：

• QQ截图20150423215519.png （34.84kb，1次下载）

为什么不行啊？大大们求助

上传的附件：

• 不能运行.png （13.77kb，1次下载）

为什么我弄得不行

上传的附件：

• 不能运行.png （13.77kb，1次下载）

为什么我不行?

上传的附件：

• 不能运行.png （13.77kb，1次下载）

脱出来了，jump到004578f4的时候CTRL+A就好了，imagebase是00400000，所以OEP是578f4,没问题

都能运行吗？为什么我不能运行？

会不会是od插件有问题？怎么就运行不了？

建议楼主先理解三种地址的概念  VA  RVA FA  看一下这个就明白了

刚刚看这方面的内容！