在下首次碰到一个OEP的困惑~~~~~oep超过了程序的长度,importREC没办法修,请帮忙看一下,我的OEP有没有找对!
http://61.141.32.79:6666/Musky1.9+.exe7119CF49 64:FF35 0000000>PUSH DWORD PTR FS:[0]
7119CF50 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
7119CF57 CC INT3 〈――断在此处,看堆栈
7119CF58 90 NOP
7119CF59 64:8F05 0000000>POP DWORD PTR FS:[0]
7119CF60 C3 RETN
7119CF61 C3 RETN
堆栈:
0012F7A0 0012F8E0 指针到下一个 SEH 记录
0012F7A4 7119CE8D SE 句柄 〈――过去断
0012F7A8 711A37BF 返回到 V1200351.711A37BF 来自 V1200351.7119CE88
0012F7AC 00000001
7119CE8D 53 PUSH EBX
7119CE8E 52 PUSH EDX
7119CE8F 8B5C24 14 MOV EBX,DWORD PTR SS:[ESP+14]
7119CE93 8B93 C4000000 MOV EDX,DWORD PTR DS:[EBX+C4]
7119CE99 8B83 C0000000 MOV EAX,DWORD PTR DS:[EBX+C0]
7119CE9F A3 38F61B71 MOV DWORD PTR DS:[711BF638],EAX
7119CEA4 E8 8F040000 CALL V1200351.7119D338
7119CEA9 9C PUSHFD
7119CEAA 58 POP EAX
7119CEAB A3 38F61B71 MOV DWORD PTR DS:[711BF638],EAX
7119CEB0 E8 83040000 CALL V1200351.7119D338
7119CEB5 8B83 B8000000 MOV EAX,DWORD PTR DS:[EBX+B8]
7119CEBB 40 INC EAX
7119CEBC 8983 B8000000 MOV DWORD PTR DS:[EBX+B8],EAX
7119CEC2 8B4424 0C MOV EAX,DWORD PTR SS:[ESP+C]
7119CEC6 8B00 MOV EAX,DWORD PTR DS:[EAX]
7119CEC8 3D 03000080 CMP EAX,80000003
7119CECD 75 71 JNZ SHORT V1200351.7119CF40
7119CECF 803D 54F61B71 0>CMP BYTE PTR DS:[711BF654],1
7119CED6 74 4F JE SHORT V1200351.7119CF27
7119CED8 8B42 0C MOV EAX,DWORD PTR DS:[EDX+C]
7119CEDB 8983 9C000000 MOV DWORD PTR DS:[EBX+9C],EAX
7119CEE1 8B42 10 MOV EAX,DWORD PTR DS:[EDX+10]
7119CEE4 8983 A0000000 MOV DWORD PTR DS:[EBX+A0],EAX
7119CEEA 8B42 14 MOV EAX,DWORD PTR DS:[EDX+14]
7119CEED 8983 B4000000 MOV DWORD PTR DS:[EBX+B4],EAX
7119CEF3 8B42 1C MOV EAX,DWORD PTR DS:[EDX+1C]
7119CEF6 8983 A4000000 MOV DWORD PTR DS:[EBX+A4],EAX
7119CEFC 8B42 20 MOV EAX,DWORD PTR DS:[EDX+20]
7119CEFF 8983 A8000000 MOV DWORD PTR DS:[EBX+A8],EAX
7119CF05 8B42 24 MOV EAX,DWORD PTR DS:[EDX+24]
7119CF08 8983 AC000000 MOV DWORD PTR DS:[EBX+AC],EAX
7119CF0E 8B42 28 MOV EAX,DWORD PTR DS:[EDX+28] 〈――F4到这里,看到OEP为017735B8
7119CF11 8983 B0000000 MOV DWORD PTR DS:[EBX+B0],EAX
7119CF17 8B02 MOV EAX,DWORD PTR DS:[EDX]
7119CF19 8942 24 MOV DWORD PTR DS:[EDX+24],EAX
7119CF1C 89D0 MOV EAX,EDX
7119CF1E 83C0 24 ADD EAX,24
直接到017735B8下硬件执行断点,F9到017735B8!!!
问题:这个是不是OEP??看上去的确是OEP,但是如果这个是OEP在importREC怎么修复????????
ImportREC显示:
映像基地址:00400000 大小:00294000 =00694000<017735B8
超过范围了!!!!!!!!!!!!!!!!!!!!!!
最初由 fly 发布
00538EA4 55 push ebp
00538EA5 8BEC mov ebp,esp
00538EA7 83C4 F0 add esp,-10
00538EAA B8 A4885300 mov eax,MUSky.005388A4
00538EAF E8 A0DEECFF call MUSky.00406D54
........
OEP搞定,但是IAT修复困难.....不知道如何下手!(在线等)
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课