能力值:
(RANK:350 )
|
-
-
2 楼
正常的情况应是相同的。
如果你不同,很可能程序加壳了,OD跑起来,代码被壳解开了。
|
能力值:
( LV9,RANK:250 )
|
-
-
3 楼
我想也应该是相同的,可是看程序应该是vc的程序,也好像不是伪装壳,就是没有壳的程序,然后是他们俩反汇编的程序也是有些不同的,比如说
OD中程序为
0040C15A |. E8 BB3F0000 call <jmp.&WS2_32.#16> ; \recv
0040C15F |. 3BC3 cmp eax, ebx
0040C161 |. 894424 1C mov dword ptr ss:[esp+1C], eax
0040C165 0F8E 87250000 jle 0040E6F2
0040C16B |. 803D 10E04A00>cmp byte ptr ds:[4AE010], 1
0040C172 75 45 jnz short 0040C1B9
0040C174 |. 8BE8 mov ebp, eax
0040C176 |. A1 64A24800 mov eax, dword ptr ds:[48A264]
0040C17B |. 55 push ebp
0040C17C |. 03C6 add eax, esi
0040C17E |. 50 push eax
IDA中为
0040BDCC call recv
0040BDCC
0040BDD1 mov ebp, eax
0040BDD3 test ebp, ebp
0040BDD5 jle loc_40C109
0040BDD5
0040BDDB mov edx, dword_48A260
0040BDE1 movzx eax, word ptr dword_42CE88
0040BDE8 movzx ecx, word ptr dword_42CE88+2
0040BDEF add ebp, edi
0040BDF1 lea edi, [edx+ebp]
0040BDF4 cmp edi, esi
0040BDF6 mov dword_440E90, 1
0040BE00 jnz short loc_40BE0E
|
能力值:
( LV2,RANK:10 )
|
-
-
4 楼
我也遇到类似情况
我把某软件的破解版和原版比较(当然是脱壳后)
发现只修改了一个地方,比如说是0040C172地址(借用楼主的数据)
用c32asm查看,是0040C172 75 45 jnz short 0040C1B9
但是od查看代码却完全不同。。。
|
能力值:
( LV9,RANK:250 )
|
-
-
5 楼
我的一点猜测,OD是动态的,IDA是静态的,是不是给分配的地址就不同了,嗯?不对吧,呵呵
|
能力值:
( LV2,RANK:10 )
|
-
-
6 楼
有没有大神来解释解释啊
|
|
|