-
-
[求助]notepad手动脱壳求助！
-
发表于: 2008-5-8 20:21
-
我用upx203w给notepad加了个壳，然后用ollyice载入。
偷了个懒，直接查找popad.....结果看到了大跳转jmp 0100739D，我相信这就是程序真正的入口点，因为这个地址就是不加壳的notepad的入口地址
。
于是在该行下断，然后重新载入，按运行...中断后打开LordPE找到该进程，点右键选择dump full，转存为notepad_dumped.exe。
终止原进程，载入notepad_dumped.exe，文件基址为01000000，于是改入口地址为0000739D，保存退出。
可是程序还是不能运行
用LordPE查看区段，还是有UPX0,UPX1两个区段存在。
我是菜鸟，第一次学脱壳，请大家告诉我以上步骤什么地方出错了，谢谢！
偷了个懒，直接查找popad.....结果看到了大跳转jmp 0100739D，我相信这就是程序真正的入口点，因为这个地址就是不加壳的notepad的入口地址
。于是在该行下断，然后重新载入，按运行...中断后打开LordPE找到该进程，点右键选择dump full，转存为notepad_dumped.exe。
终止原进程，载入notepad_dumped.exe，文件基址为01000000，于是改入口地址为0000739D，保存退出。
可是程序还是不能运行
用LordPE查看区段，还是有UPX0,UPX1两个区段存在。
我是菜鸟，第一次学脱壳，请大家告诉我以上步骤什么地方出错了，谢谢！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 呵呵，对的。修复了就好了。
|
|
|
|
|
|
|
