再把你以前顶过的这篇文章看一下可能有所帮助：

http://bbs.pediy.com/showthread.php?s=&threadid=11356&pagenumber=1

最初由 CCDebuger 发布
再把你以前顶过的这篇文章看一下可能有所帮助：

http://bbs.pediy.com/showthread.php?s=&threadid=11356&pagenumber=1

我就是看了这篇文章才产生的疑问哦...在论坛找了找也没有找到详细的说明...

nb_recursion:Limit of the recursion of tracer, if 4 I do not make mistakes. Place 5 (it by default).

最初由 Immlep 发布
nb_recursion:Limit of the recursion of tracer, if 4 I do not make mistakes. Place 5 (it by default).

nb_recursion：递归追踪的等级（限制？），如果传递4，那么就不会有错。默认的是置5。
不知道，是这么理解吗，这个do not make mistakes是指什么？（修复错误？还是函数出错？）

另外还有参数iat_rva，为什么下面的代码置0了呢？
push    eax
push    5
push    0
push    ecx
push    ProcInfo3.dwProcessId
call    g_lpRebuildImport       ;调用 ImpREC.dll 中的 RebuildImport 函数重建输入表

如果能得到这个函数的文档就好了

FEUERRADER ...imprec.dll В инструкции к ImpREC.dll by MackT есть:

FEUERRADER ...imprec.dll В инструкции к ImpREC.dll by MackT есть:
BOOL RebuildImport(DWORD pid, DWORD oep_rva, DWORD iat_rva, DWORD nb_recursion, LPTSTR dump_filename)
Не нашел расшифровки параметров. Не понятны iat_rva и nb_recursion.
iat_rva видимо rva таблицы импорта. Откуда берется, если пакер проги неизвестен???
И что за nb_recursion???

Очень надеюсь на помощь. Спасибо.
MozgC [TSRh] :: IAT_RVA вводится юзером
либо ImpRec находит RVA после автопоиска.

MozgC [TSRh] :: Подозреваю так же что nb_recursion это количество рекурсий, т.е. сколько раз импрек будет входить в процедуры чтобы распознать функцию.

FEUERRADER :: MozgC [TSRh]

цитата:
IAT_RVA вводится юзером
либо ImpRec находит RVA после автопоиска

Смотри, процесс останавливается на ОЕР проги, пакованной UPX. Теперь делаю
RebuildImport(lppi.dwProcessId, 0x44F390, 0, 1, «dump.exe»);
Всё делаю на msvС++.
Выходит сообщение Could not find anything good at this OEP. Пробовал rva_oep вводить без imagebase, но резульатат такой же.
В чем ошибка-то???

MozgC [TSRh] :: А че ты 0 то суешь вместо IAT_RVA?

FEUERRADER :: MozgC пишет:
цитата:
А че ты 0 то суешь вместо IAT_RVA?

Дык я и спрашиваю, мож кто знает, как программно на с++ просто найти iat_rva у прог UPX??

MozgC [TSRh] :: Ты сначала посмотри будет ли работать если туда сувать не 0, а потом будешь думать как iat_rva автоматом найти =)

这就是我google到的东西！