[转帖]5种语言的OEP入口特征-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (17)
yutu 雪币： 464 活跃值： (79) 能力值： ( LV4，RANK：50 ) 在线值：发帖 9 回帖 53 粉丝 0 关注私信	yutu 1 2 楼好啊，找了很久了，顶。。。 2008-12-29 08:50 0
gmgod 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 22 粉丝 0 关注私信	gmgod 3 楼谢谢，来看看啊~~ 2008-12-29 14:35 0
AimeQ 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 0 关注私信	AimeQ 4 楼雪中送炭啊,谢谢!!!!!!! 2008-12-29 15:07 0
hongsun 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	hongsun 5 楼我看到的5种语言的入口特征，论坛找的！！！！ 5种常见语言OEP特征 Borland C++ 0040163C B> /EB 10 jmp short Borland_.0040164E 0040163E \|66:623A bound di,dword ptr ds:[edx] 00401641 \|43 inc ebx 00401642 \|2B2B sub ebp,dword ptr ds:[ebx] 00401644 \|48 dec eax 00401645 \|4F dec edi 00401646 \|4F dec edi 00401647 \|4B dec ebx 00401648 \|90 nop 00401649 -\|E9 98E04E00 jmp SHELL32.008EF6E6 0040164E \A1 8BE04E00 mov eax,dword ptr ds:[4EE08B] 00401653 C1E0 02 shl eax,2 00401656 A3 8FE04E00 mov dword ptr ds:[4EE08F],eax 0040165B 52 push edx 0040165C 6A 00 push 0 0040165E E8 DFBC0E00 call <jmp.&KERNEL32.GetModuleHandleA> ******************************************************************************** Delphi 00458650 D> 55 push ebp 00458651 8BEC mov ebp,esp 00458653 83C4 F0 add esp,-10 00458656 B8 70844500 mov eax,Delphi.00458470 0045865B E8 00D6FAFF call Delphi.00405C60 00458660 A1 58A14500 mov eax,dword ptr ds:[45A158] 00458665 8B00 mov eax,dword ptr ds:[eax] 00458667 E8 E0E1FFFF call Delphi.0045684C 0045866C A1 58A14500 mov eax,dword ptr ds:[45A158] 00458671 8B00 mov eax,dword ptr ds:[eax] 00458673 BA B0864500 mov edx,Delphi.004586B0 00458678 E8 DFDDFFFF call Delphi.0045645C 0045867D 8B0D 48A24500 mov ecx,dword ptr ds:[45A248] ; Delphi.0045BC00 00458683 A1 58A14500 mov eax,dword ptr ds:[45A158] 00458688 8B00 mov eax,dword ptr ds:[eax] 0045868A 8B15 EC7D4500 mov edx,dword ptr ds:[457DEC] ; Delphi.00457E38 00458690 E8 CFE1FFFF call Delphi.00456864 00458695 A1 58A14500 mov eax,dword ptr ds:[45A158] 0045869A 8B00 mov eax,dword ptr ds:[eax] 0045869C E8 43E2FFFF call Delphi.004568E4 ****************************************************************************** Visual C++ 0046C07B U> 55 push ebp 0046C07C 8BEC mov ebp,esp 0046C07E 6A FF push -1 0046C080 68 18064C00 push UltraSna.004C0618 0046C085 68 F8364700 push UltraSna.004736F8 0046C08A 64:A1 00000000 mov eax,dword ptr fs:[0] 0046C090 50 push eax 0046C091 64:8925 00000000 mov dword ptr fs:[0],esp 0046C098 83EC 58 sub esp,58 0046C09B 53 push ebx 0046C09C 56 push esi 0046C09D 57 push edi 0046C09E 8965 E8 mov dword ptr ss:[ebp-18],esp 0046C0A1 FF15 74824A00 call dword ptr ds:[<&KERNEL32.GetVersion>] ; kernel32.GetVersion 0046C0A7 33D2 xor edx,edx 0046C0A9 8AD4 mov dl,ah 0046C0AB 8915 403F4F00 mov dword ptr ds:[4F3F40],edx 0046C0B1 8BC8 mov ecx,eax 0046C0B3 81E1 FF000000 and ecx,0FF 0046C0B9 890D 3C3F4F00 mov dword ptr ds:[4F3F3C],ecx ****************************************************************************** 汇编 00401000 汇> 6A 00 push 0 00401002 E8 C50A0000 call <jmp.&KERNEL32.GetModuleHandleA> 00401007 A3 0C354000 mov dword ptr ds:[40350C],eax 0040100C E8 B50A0000 call <jmp.&KERNEL32.GetCommandLineA> 00401011 A3 10354000 mov dword ptr ds:[403510],eax 00401016 6A 0A push 0A 00401018 FF35 10354000 push dword ptr ds:[403510] 0040101E 6A 00 push 0 00401020 FF35 0C354000 push dword ptr ds:[40350C] 00401026 E8 06000000 call 汇编.00401031 0040102B 50 push eax 0040102C E8 8F0A0000 call <jmp.&KERNEL32.ExitProcess> 00401031 55 push ebp 00401032 8BEC mov ebp,esp 00401034 83C4 B0 add esp,-50 00401037 C745 D0 30000000 mov dword ptr ss:[ebp-30],30 0040103E C745 D4 0B000000 mov dword ptr ss:[ebp-2C],0B 00401045 C745 D8 37114000 mov dword ptr ss:[ebp-28],汇编.00401137 ******************************************************************************** VB 0040116C V>/$ 68 147C4000 push VB.00407C14 00401171 \|. E8 F0FFFFFF call <jmp.&MSVBVM60.#100> 00401176 \|. 0000 add byte ptr ds:[eax],al 00401178 \|. 0000 add byte ptr ds:[eax],al 0040117A \|. 0000 add byte ptr ds:[eax],al 0040117C \|. 3000 xor byte ptr ds:[eax],al 把这些记住就会事半功倍。 2009-4-29 19:19 0
yangyangss 雪币： 12 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 39 粉丝 0 关注私信	yangyangss 6 楼支持支持支持支持 2009-4-29 20:03 0
coolen 雪币： 101 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	coolen 7 楼学习了。。除了汇编的那个。。其他的都经常看到。。不用记也熟了。。 2009-5-7 17:06 0
huwenhui 雪币： 80 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	huwenhui 8 楼这个很好!正需要！谢了 2009-6-11 10:40 0
一方秋水雪币： 52 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 13 粉丝 0 关注私信	一方秋水 9 楼学习了啊!. 2009-6-13 21:45 0
vkbt 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	vkbt 10 楼顶一下，太懒了，自己不想动手，麻烦了 2009-6-14 18:48 0
西子雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	西子 11 楼不想动手， 2009-6-16 01:27 0
gxwtk 雪币： 282 活跃值： (32) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 95 粉丝 0 关注私信	gxwtk 12 楼谢谢，对我们这些半熟不熟的很有用 2009-6-16 08:53 0
gamegm 雪币： 139 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 67 粉丝 0 关注私信	gamegm 13 楼学习学习 2009-6-20 14:45 0
爱不说雪币： 266 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 62 粉丝 0 关注私信	爱不说 14 楼好东西支持一下 ~ 2009-6-30 10:03 0
davidmtk 雪币： 102 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	davidmtk 15 楼好东西！要回复的！！ 2009-7-2 17:23 0
pyq逍遥雪币： 306 活跃值： (153) 能力值： ( LV4，RANK：50 ) 在线值：发帖 1 回帖 200 粉丝 5 关注私信	pyq逍遥 1 16 楼很不错, 记下这个就好办多了 2009-7-2 18:50 0
狼藉天涯雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	狼藉天涯 17 楼好东西。来支持下 2009-7-2 19:14 0
剞时雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 7 粉丝 0 关注私信	剞时 18 楼好啊，找了很久了，顶。。。 2009-7-2 20:02 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (17)
yutu 雪币： 464 活跃值： (79) 能力值： ( LV4，RANK：50 ) 在线值：发帖 9 回帖 53 粉丝 0 关注私信	yutu 1 2 楼好啊，找了很久了，顶。。。 2008-12-29 08:50 0
gmgod 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 22 粉丝 0 关注私信	gmgod 3 楼谢谢，来看看啊~~ 2008-12-29 14:35 0
AimeQ 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 0 关注私信	AimeQ 4 楼雪中送炭啊,谢谢!!!!!!! 2008-12-29 15:07 0
hongsun 雪币： 203 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	hongsun 5 楼我看到的5种语言的入口特征，论坛找的！！！！ 5种常见语言OEP特征 Borland C++ 0040163C B> /EB 10 jmp short Borland_.0040164E 0040163E \|66:623A bound di,dword ptr ds:[edx] 00401641 \|43 inc ebx 00401642 \|2B2B sub ebp,dword ptr ds:[ebx] 00401644 \|48 dec eax 00401645 \|4F dec edi 00401646 \|4F dec edi 00401647 \|4B dec ebx 00401648 \|90 nop 00401649 -\|E9 98E04E00 jmp SHELL32.008EF6E6 0040164E \A1 8BE04E00 mov eax,dword ptr ds:[4EE08B] 00401653 C1E0 02 shl eax,2 00401656 A3 8FE04E00 mov dword ptr ds:[4EE08F],eax 0040165B 52 push edx 0040165C 6A 00 push 0 0040165E E8 DFBC0E00 call <jmp.&KERNEL32.GetModuleHandleA> ******************************************************************************** Delphi 00458650 D> 55 push ebp 00458651 8BEC mov ebp,esp 00458653 83C4 F0 add esp,-10 00458656 B8 70844500 mov eax,Delphi.00458470 0045865B E8 00D6FAFF call Delphi.00405C60 00458660 A1 58A14500 mov eax,dword ptr ds:[45A158] 00458665 8B00 mov eax,dword ptr ds:[eax] 00458667 E8 E0E1FFFF call Delphi.0045684C 0045866C A1 58A14500 mov eax,dword ptr ds:[45A158] 00458671 8B00 mov eax,dword ptr ds:[eax] 00458673 BA B0864500 mov edx,Delphi.004586B0 00458678 E8 DFDDFFFF call Delphi.0045645C 0045867D 8B0D 48A24500 mov ecx,dword ptr ds:[45A248] ; Delphi.0045BC00 00458683 A1 58A14500 mov eax,dword ptr ds:[45A158] 00458688 8B00 mov eax,dword ptr ds:[eax] 0045868A 8B15 EC7D4500 mov edx,dword ptr ds:[457DEC] ; Delphi.00457E38 00458690 E8 CFE1FFFF call Delphi.00456864 00458695 A1 58A14500 mov eax,dword ptr ds:[45A158] 0045869A 8B00 mov eax,dword ptr ds:[eax] 0045869C E8 43E2FFFF call Delphi.004568E4 ****************************************************************************** Visual C++ 0046C07B U> 55 push ebp 0046C07C 8BEC mov ebp,esp 0046C07E 6A FF push -1 0046C080 68 18064C00 push UltraSna.004C0618 0046C085 68 F8364700 push UltraSna.004736F8 0046C08A 64:A1 00000000 mov eax,dword ptr fs:[0] 0046C090 50 push eax 0046C091 64:8925 00000000 mov dword ptr fs:[0],esp 0046C098 83EC 58 sub esp,58 0046C09B 53 push ebx 0046C09C 56 push esi 0046C09D 57 push edi 0046C09E 8965 E8 mov dword ptr ss:[ebp-18],esp 0046C0A1 FF15 74824A00 call dword ptr ds:[<&KERNEL32.GetVersion>] ; kernel32.GetVersion 0046C0A7 33D2 xor edx,edx 0046C0A9 8AD4 mov dl,ah 0046C0AB 8915 403F4F00 mov dword ptr ds:[4F3F40],edx 0046C0B1 8BC8 mov ecx,eax 0046C0B3 81E1 FF000000 and ecx,0FF 0046C0B9 890D 3C3F4F00 mov dword ptr ds:[4F3F3C],ecx ****************************************************************************** 汇编 00401000 汇> 6A 00 push 0 00401002 E8 C50A0000 call <jmp.&KERNEL32.GetModuleHandleA> 00401007 A3 0C354000 mov dword ptr ds:[40350C],eax 0040100C E8 B50A0000 call <jmp.&KERNEL32.GetCommandLineA> 00401011 A3 10354000 mov dword ptr ds:[403510],eax 00401016 6A 0A push 0A 00401018 FF35 10354000 push dword ptr ds:[403510] 0040101E 6A 00 push 0 00401020 FF35 0C354000 push dword ptr ds:[40350C] 00401026 E8 06000000 call 汇编.00401031 0040102B 50 push eax 0040102C E8 8F0A0000 call <jmp.&KERNEL32.ExitProcess> 00401031 55 push ebp 00401032 8BEC mov ebp,esp 00401034 83C4 B0 add esp,-50 00401037 C745 D0 30000000 mov dword ptr ss:[ebp-30],30 0040103E C745 D4 0B000000 mov dword ptr ss:[ebp-2C],0B 00401045 C745 D8 37114000 mov dword ptr ss:[ebp-28],汇编.00401137 ******************************************************************************** VB 0040116C V>/$ 68 147C4000 push VB.00407C14 00401171 \|. E8 F0FFFFFF call <jmp.&MSVBVM60.#100> 00401176 \|. 0000 add byte ptr ds:[eax],al 00401178 \|. 0000 add byte ptr ds:[eax],al 0040117A \|. 0000 add byte ptr ds:[eax],al 0040117C \|. 3000 xor byte ptr ds:[eax],al 把这些记住就会事半功倍。 2009-4-29 19:19 0
yangyangss 雪币： 12 活跃值： (16) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 39 粉丝 0 关注私信	yangyangss 6 楼支持支持支持支持 2009-4-29 20:03 0
coolen 雪币： 101 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	coolen 7 楼学习了。。除了汇编的那个。。其他的都经常看到。。不用记也熟了。。 2009-5-7 17:06 0
huwenhui 雪币： 80 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	huwenhui 8 楼这个很好!正需要！谢了 2009-6-11 10:40 0
一方秋水雪币： 52 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 13 粉丝 0 关注私信	一方秋水 9 楼学习了啊!. 2009-6-13 21:45 0
vkbt 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	vkbt 10 楼顶一下，太懒了，自己不想动手，麻烦了 2009-6-14 18:48 0
西子雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	西子 11 楼不想动手， 2009-6-16 01:27 0
gxwtk 雪币： 282 活跃值： (32) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 95 粉丝 0 关注私信	gxwtk 12 楼谢谢，对我们这些半熟不熟的很有用 2009-6-16 08:53 0
gamegm 雪币： 139 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 67 粉丝 0 关注私信	gamegm 13 楼学习学习 2009-6-20 14:45 0
爱不说雪币： 266 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 62 粉丝 0 关注私信	爱不说 14 楼好东西支持一下 ~ 2009-6-30 10:03 0
davidmtk 雪币： 102 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	davidmtk 15 楼好东西！要回复的！！ 2009-7-2 17:23 0
pyq逍遥雪币： 306 活跃值： (153) 能力值： ( LV4，RANK：50 ) 在线值：发帖 1 回帖 200 粉丝 5 关注私信	pyq逍遥 1 16 楼很不错, 记下这个就好办多了 2009-7-2 18:50 0
狼藉天涯雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	狼藉天涯 17 楼好东西。来支持下 2009-7-2 19:14 0
剞时雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 7 粉丝 0 关注私信	剞时 18 楼好啊，找了很久了，顶。。。 2009-7-2 20:02 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复