-
-
[求助]问个弱智问题,找到 OEP 用来干嘛?
-
发表于: 2007-5-26 14:48
-
问个弱智问题,什么叫做从 OEP dump?一般的说:
脱壳的时候步骤首先就是找 OEP, 然后再 dump 内存,最后重建输入表
从 OEP 开始 dump 就是真实的原程序.
既然是把内存中的代码转存为文件,那就得有初始地址和结束地址
可是我看到的入门帖里面说得都不太清楚,或者我理解能力不够,不管是 lordPE 还是什么 dump 插件,都不要求自己输入 OEP 的地址,我就糊涂了,我们自己找到的 OEP 用来干嘛?
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我的理解是:
无壳程序的内存: --------------(无壳程序的内存)---- MZ头 程序code ... --------------(无壳程序的内存)----  有壳程序的内存(解码前): --------------(有壳程序的内存)---- MZ头(加壳程序改过) 加密后的原程序code(重点) 解码code ... --------------(有壳程序的内存)---- 有壳程序的内存(解码后): --------------(有壳程序的内存)---- MZ头(加壳程序改过) 原程序code(重点) 解码code ... --------------(有壳程序的内存)---- 程序的"目录"就是"MZ头" 加壳程序在"MZ头"中除了"入口偏移"以外可能会改的是:"输入表""区段表" 这两个 lordPE 会修改好. 所以脱壳后程序的内存: --------------(脱壳后程序的内存)---- MZ头(脱壳程序改过) 原程序code(重点) 解码code(以没用) ... --------------(脱壳后程序的内存)---- OEP就是内存中(解码后)"原程序code"的内存地址 代码长度保存在"MZ头"中(自己都晕了! )
|
|
|
|
|
|
“脱”就一个字
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
