005139A0 > 60 PUSHAD //停在这里
005139A1 BE 00204C00 MOV ESI,Vertrigo.004C2000 //F8到这里
005139A6 8DBE 00F0F3FF LEA EDI,DWORD PTR DS:[ESI+FFF3F000]
005139AC 57 PUSH EDI
005139AD 83CD FF OR EBP,FFFFFFFF
005139B0 EB 10 JMP SHORT Vertrigo.005139C2
005139B2 90 NOP
005139B3 90 NOP
005139B4 90 NOP
005139B5 90 NOP
005139B6 90 NOP
005139B7 90 NOP
005139B8 8A06 MOV AL,BYTE PTR DS:[ESI]
005139BA 46 INC ESI
005139BB 8807 MOV BYTE PTR DS:[EDI],AL
005139BD 47 INC EDI
005139BE 01DB ADD EBX,EBX
EAX 00000000
ECX 0012FFB0
EDX 7C92EB94 ntdll.KiFastSystemCallRet
EBX 7FFDD000
ESP 0012FFA4 注意这里 SEP定律来脱
EBP 0012FFF0
ESI FFFFFFFF
EDI 7C930738 ntdll.7C930738
EIP 005139A1 Vertrigo.005139A1
C 0 ES 0023 32bit 0(FFFFFFFF)
命令行输入 DD 0012FFA4
0012FFA4 7C930738 ntdll.7C930738 又键 断点 硬件访问 WORD
0012FFA8 FFFFFFFF
0012FFAC 0012FFF0
0012FFB0 0012FFC4
0012FFB4 7FFDD000
0012FFB8 7C92EB94 ntdll.KiFastSystemCallRet
0012FFBC 0012FFB0
0012FFC0 00000000
0012FFC4 7C816FD7 返回到 kernel32.7C816FD7
0012FFC8 7C930738 ntdll.7C930738
F9运行到
00513B3E 8D4424 80 LEA EAX,DWORD PTR SS:[ESP-80] 到这里
00513B42 6A 00 PUSH 0
00513B44 39C4 CMP ESP,EAX
00513B46 ^ 75 FA JNZ SHORT Vertrigo.00513B42
00513B48 83EC 80 SUB ESP,-80
00513B4B - E9 08DBF8FF JMP Vertrigo.004A1658 飞到OEP F4到这里
00513B50 68 3B510078 PUSH 7800513B
00513B55 3B51 00 CMP EDX,DWORD PTR DS:[ECX]
00513B58 A0 204A0000 MOV AL,BYTE PTR DS:[4A20]
00513B5D 0000 ADD BYTE PTR DS:[EAX],AL
00513B5F 0000 ADD BYTE PTR DS:[EAX],AL
然后脱壳。。。修复。。。完