-
-
脱壳高手给点关于Themida加壳软件OEP恢复方面的资料
-
发表于: 2007-1-14 17:06
-
最近一直在研究Themida,发现OEP的开始部分在堆栈中执行,而且到FOEP时就找不到,就被VM掉了,哪位高手给点资料!!!!能够使在VM掉之前找到完美的OEP!
万分感谢!
万分感谢!
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
关键是我太菜了,一开始领会错意思了,(最后一个可拦截的API是壳用CreateFile,ReadFile读入的kernel32内的Sleep，对这个下断，出来后离dump位置就很近了，稍微跟一小段，看到用stosb销毁代码就差不多了。
这一句: ADD [ESP+8],EAX 加的结果就是开始用VM执行stolen codes的位置即dump点。走几步就到了。 softworm大侠) 以为可以精确还原OEP的,不过对我等菜鸟来说太难, 感谢forgot版主的不厌其烦的帮助,已经用模拟猜测的方法还原OEP. 
|
|
|
|
|
|
|
