我是菜鸟 请教下高手些
PD差壳为UPX 0.89.6 - 1.02 / 1.05 - 1.24 (Delphi) stub -> Markus & Laszlo
按照POPAD下断
0050E18C FF96 B8F81000 call [esi+10F8B8]
0050E192 09C0 or eax, eax
0050E194 74 07 je short 0050E19D
0050E196 8903 mov [ebx], eax
0050E198 83C3 04 add ebx, 4
0050E19B ^ EB D8 jmp short 0050E175
0050E19D FF96 BCF81000 call [esi+10F8BC]
0050E1A3 61 popad 断在这里
0050E1A4 - E9 572EEFFF jmp 00401000 飞向OEP
0050E1A9 0000 add [eax], al
0050E1AB 00C4 add ah, al
0050E1AD E1 50 loopde short 0050E1FF
0050E1AF 0078 E2 add [eax-1E], bh
0050E1B2 50 push eax
0050E1B3 00D4 add ah, dl
下面看401000这
00401000 /EB 10 jmp short 00401012 这个不是OEP吧
00401002 |66:623A bound di, [edx]
00401005 |43 inc ebx
00401006 |2B2B sub ebp, [ebx]
00401008 |48 dec eax
00401009 |4F dec edi
0040100A |4F dec edi
0040100B |4B dec ebx
0040100C |90 nop
0040100D -|E9 EC064D00 jmp 008D16FE
00401012 \A1 DF064D00 mov eax, [4D06DF]
00401017 C1E0 02 shl eax, 2
0040101A A3 E3064D00 mov [4D06E3], eax
0040101F 52 push edx
00401020 6A 00 push 0
00401022 E8 5FD90C00 call 004CE986 ; jmp 到 kernel32.GetModuleHandleA
00401027 8BD0 mov edx, eax
00401029 E8 52EB0B00 call 004BFB80
0040102E 5A pop edx
0040102F E8 B0EA0B00 call 004BFAE4
00401034 E8 87EB0B00 call 004BFBC0
00401039 6A 00 push 0
0040103B E8 9CFE0B00 call 004C0EDC
00401040 59 pop ecx
00401041 68 88064D00 push 004D0688
00401046 6A 00 push 0
00401048 E8 39D90C00 call 004CE986 ; jmp 到 kernel32.GetModuleHandleA
那个不是真正的OPE 脱壳后修复也不能运行
请教下怎么寻找真正的OEP
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
