我照着网上的教程学习,可是在操作中返回信息却和教程中不一样,比如:
教程中说下断点BP GetModuleHandleA+5后shift+F9。堆栈变化为:
011EF168 /011EF7C0
011EF16C |7C822B47 返回到 kernel32.7C822B47 来自 kernel32.GetModuleHandleA
011EF170 |00000000
011EF174 |7C822B8F 返回到 kernel32.7C822B8F 来自 kernel32.7C822B40
011EF73C /011EF858
011EF740 |4C52D4A7 返回到 msctfime.4C52D4A7 来自 kernel32.GetModuleHandleA
011EF744 |011EF748 ASCII "I:\WINDOWS\system32\ntdll.dll"
0012F710 0012F778
0012F714 008008F3 返回到 FVStudio.008008F3 来自 kernel32.GetModuleHandleA
0012F718 00000000
0012F71C 7C82B3C8 返回到 kernel32.7C82B3C8 来自 ntdll.ZwOpenMutant
001294FC /0012EC44
00129500 |01217105 返回到 01217105 来自 kernel32.GetModuleHandleA
00129504 |0122BC1C ASCII "kernel32.dll"
00129508 |0122CEC4 ASCII "VirtualAlloc"
001294FC /0012EC44
00129500 |01217122 返回到 01217122 来自 kernel32.GetModuleHandleA
00129504 |0122BC1C ASCII "kernel32.dll"
00129508 |0122CEB8 ASCII "VirtualFree"
00129260 /00129500
00129264 |01205FC9 返回到 01205FC9 来自 kernel32.GetModuleHandleA
00129268 |001293B4 ASCII "kernel32.dll"
但我的到
001294FC /0012EC44
00129500 |01217122 返回到 01217122 来自 kernel32.GetModuleHandleA
00129504 |0122BC1C ASCII "kernel32.dll"
00129508 |0122CEB8 ASCII "VirtualFree"
后为:
/CALL 到 GetModuleHandleA 来自 czssgold.004B50DD
\pModule = NULL
此处正常应返回:
00B452CA 8B0D 3C1EB700 mov ecx,dword ptr ds:[B71E3C] <---------返回到这
00B452D0 89040E mov dword ptr ds:[esi+ecx],eax
00B452D3 A1 3C1EB700 mov eax,dword ptr ds:[B71E3C]
00B452D8 391C06 cmp dword ptr ds:[esi+eax],ebx
00B452DB 75 16 jnz short 00B452F3
00B452DD 8D85 B4FEFFFF lea eax,dword ptr ss:[ebp-14C]
00B452E3 50 push eax
00B452E4 FF15 B842B600 call dword ptr ds:[B642B8] ; kernel32.LoadLibraryA
00B452EA 8B0D 3C1EB700 mov ecx,dword ptr ds:[B71E3C]
00B452F0 89040E mov dword ptr ds:[esi+ecx],eax
00B452F3 A1 3C1EB700 mov eax,dword ptr ds:[B71E3C]
00B452F8 391C06 cmp dword ptr ds:[esi+eax],ebx
00B452FB 0F84 2F010000 je 00B45430 <--------------MAGICJUMP,改JMP 00B45430
00B45301 33C9 xor ecx,ecx
00B45303 8B07 mov eax,dword ptr ds:[edi]
00B45305 3918 cmp dword ptr ds:[eax],ebx
00B45307 74 06 je short 00B4530F
我的也不是。我试到所有网上教程都是这样。请大家帮帮我
[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法