看着不像OEP

就是假的吧

伪OEP就是看上去非常像OEP:p

0041FFD2是真正的OEP,0041fff8就是伪的~~~！
可惜偶还不会脱ASPR,不过今天是算是略有所得把？
我还有个地方没弄明白，Fixdump的东西从哪里找？
IAT是不是还需要自己手工修复，有没有很好的对付这种
Stolen byte的修复IAT的工具那？

0041FFD2   0000             ADD BYTE PTR DS:[EAX],AL
0041FFD4   0000             ADD BYTE PTR DS:[EAX],AL
0041FFD6   0000             ADD BYTE PTR DS:[EAX],AL
0041FFD8   0000             ADD BYTE PTR DS:[EAX],AL
0041FFDA   0000             ADD BYTE PTR DS:[EAX],AL
0041FFDC   0000             ADD BYTE PTR DS:[EAX],AL
0041FFDE   0000             ADD BYTE PTR DS:[EAX],AL
0041FFE0   0000             ADD BYTE PTR DS:[EAX],AL
0041FFE2   0000             ADD BYTE PTR DS:[EAX],AL
0041FFE4   0000             ADD BYTE PTR DS:[EAX],AL
0041FFE6   0000             ADD BYTE PTR DS:[EAX],AL
0041FFE8   0000             ADD BYTE PTR DS:[EAX],AL
0041FFEA   0000             ADD BYTE PTR DS:[EAX],AL
0041FFEC   0000             ADD BYTE PTR DS:[EAX],AL
0041FFEE   0000             ADD BYTE PTR DS:[EAX],AL
0041FFF0   0000             ADD BYTE PTR DS:[EAX],AL
0041FFF2   0000             ADD BYTE PTR DS:[EAX],AL
0041FFF4   0000             ADD BYTE PTR DS:[EAX],AL
0041FFF6   0000             ADD BYTE PTR DS:[EAX],AL
0041FFF8   FF15 C4914200    CALL DWORD PTR DS:[4291C4]
0041FFFE   33D2             XOR EDX,EDX
00420000   8AD4             MOV DL,AH
00420002   8915 84BE4300    MOV DWORD PTR DS:[43BE84],EDX
00420008   8BC8             MOV ECX,EAX
0042000A   81E1 FF000000    AND ECX,0FF
00420010   890D 80BE4300    MOV DWORD PTR DS:[43BE80],ECX
00420016   C1E1 08          SHL ECX,8
00420019   03CA             ADD ECX,EDX
0042001B   890D 7CBE4300    MOV DWORD PTR DS:[43BE7C],ECX
00420021   C1E8 10          SHR EAX,10
00420024   A3 78BE4300      MOV DWORD PTR DS:[43BE78],EAX
00420029   33F6             XOR ESI,ESI
0042002B   56               PUSH ESI
0042002C   E8 E0000000      CALL AIMPR.00420111
00420031   59               POP ECX
00420032   85C0             TEST EAX,EAX
00420034   75 08            JNZ SHORT AIMPR.0042003E
00420036   6A 1C            PUSH 1C
00420038   E8 B0000000      CALL AIMPR.004200ED

fake oep 一般是停在call的地方,而在它的上面就是00组成的一般是12或15个00 在上面就是retn(这个是我的观察,不一定是这样)而stolen bytes的开始处应该是在retn 后面空一个00(byte)这样 被偷掉的code就一般是11 或14 字节了!(以上都是我的理解):p

谢谢各位老大，慢慢体会。

伪OEP一般都在文件的末端
我是说病毒,壳我不知道

不理解。。。。

伪OEP 就是OEP被Stolen Code之后的地方

赞同fly说法!

能不能再讲讲甚么是Stolen code?

找到伪OEP下一步应该如何处理呢？和真OEP有没有对应关系呢？

最初由 likedust 发布
能不能再讲讲甚么是Stolen code?

我就知道EPO.也想知道Stolen code是什么,

OEP处的Stolen code是指把OEP处原来的部分代码挪到壳里执行，把原OEP处的那些清零或者填充其他数据

这样由壳中返回程序时就已经运行了部分代码，从而使的壳和程序之间以前有的“分界线”变得越来越模糊

Stolen code做的较好的是ASProtect、ACProtect等

EPO 是病毒感染的时候尽量不改变原来文件的入口地址,从而从一定程度减少被杀毒软件检测.

看来反软件和反人工的确差别很大