逼不得意才问。。。
一个记事本程序
PEID检测为UPX壳
ctrl+f 查找popad
0040DDB3 83C3 04 add ebx, 4
0040DDB6 ^ EB E1 jmp short 0040DD99
0040DDB8 FF96 68DE0000 call dword ptr [esi+DE68]
0040DDBE 61 popad
0040DDBF - E9 3C32FFFF jmp 00401000
F7进去
00401000 55 push ebp
00401001 8BEC mov ebp, esp
00401003 83EC 44 sub esp, 44
00401006 56 push esi
00401007 57 push edi
00401008 FF15 54734000 call dword ptr [407354] ; kernel32.GetCommandLineA
0040100E 8BF0 mov esi, eax
00401010 8A00 mov al, byte ptr [eax]
00401012 3C 22 cmp al, 22
那么001000就是OEP了吧。。。。
但是我用IMPORT 1.6 把OEP改为1000 然后点IAT AUTO SEARCH 再GET IMPORT
为什么指针全不对啊 全是Valid:NO
RVA改为1000 SIZE改为A000也不得 (可以的话顺便解释一下SIZE是什么。。)
第一次脱壳的而已。。。。 也弄了一天了 不得已才问的
或则我哪里说不明白能留个言最好。。。
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)