关注~~~~

明显是花指令或是加壳保护了.

不能吧。。我检测过啦，没壳

如下图：

上传的附件：

• 未命名.JPG （23.03kb，114次下载）

支持３楼，不要过于依赖某个工具，peid不报不一定就没有
另外就算没壳没混淆，源代码里就不能内嵌汇编忽悠一下吗，楼主还是先看看原来那个call是否真的会被调用到，或是目标地址是否会在运行时刻被patch掉

[QUOTE=lixiaodog;542547]
100AD517    40              inc     eax
100AD518    0000            add     byte ptr ds:[eax], al
100AD51A    0000            add     byte ptr ds:[eax], al
100AD51C    27              daa
100AD51D    AA              stos    byte ptr es:[edi]
100AD51E    05 1034D50A     add     eax, 0AD53410
100AD523    1028            adc     byte ptr ds:[eax], ch
100AD525    D50A            aad
100AD527    10FF            adc     bh, bh
100AD529    FFFF            ???                                          ; 未知命令
100AD52B    FF00            inc     dword ptr ds:[eax]

有一个地方有这样一句 CALL 100AD528 文件没有加壳[/QUOTE]

注意指令边界。

而且也不排除这里是动态修改代码的可能。

可能是代码加密了。。

运行起来就知道了

解释下指令边界

我是菜鸟

怎样确定 一个EXE确实没有被加壳？

又是这种贴子 哎
100AD518    dd     0
100AD51C    dd     1005AA27
100AD520    dd     100AD534
100AD524    dd     100AD528
100AD528    dd      -1

程序没有壳
楼主贴的东西在.rdata段
其中1005AA27 指向.text，应该是个函数入口

请问你是怎么得出这个结论的？

[QUOTE=shoooo;543040]又是这种贴子 哎
100AD518    dd     0
100AD51C    dd     1005AA27
100AD520    dd     100AD534
100AD524    dd     100AD528
100AD528    dd      -1[/QUOTE]

不是很理解，请详细说一下，谢谢了

楼主再确认一下，确定是

CALL 100AD528

而不是

CALL [100AD528 ]

吗？

shoooo已经告诉你，这里是个函数指针，位于数据区。

楼主让shoooo叹息了  先记住结论吧  有些东西从实践中来的  看书是没有用的  :-)