|
|
|---|---|
|
|
步骤有问题！仔细检察下！
|
|
|
|
|
|
|
|
|
没人理我
 已经找到问题所在了, 希望跟我一样刚入门学习脱壳的朋友可以少走点弯路!!! 跟踪到这里 005FCCA6 - E9 4560F2FF JMP rejoice.00522CF0 按F8步过, 进入的是 00522CF0 55 DB 55 00522CF1 8B DB 8B 00522CF2 EC DB EC 这里, 跟天草教程里面不一样, 但没关系, 右键"分析"->"从模块删除分析" 就变成这样了 00522CF0 55 PUSH EBP 00522CF1 8BEC MOV EBP,ESP 00522CF3 83C4 E4 ADD ESP,-1C 00522CF6 53 PUSH EBX 00522CF7 B8 F0275200 MOV EAX,rejoice.005227F0 看, 是不是和教程里面的一样了. 这只是第一步而已, 虽然已经找到正确的入口点, 我后面的那几步操作不一致才会导致文件无法运行. 接下来的一下非常重要, 由于OD调试时, 已经有进程rejoice了, 所以不需要再打开rejoice 直接用LoadPe, 脱壳, 我错误的操作是记录下入口点, 关掉OD -> 打开rejoice -> LoadPe 脱壳 -> Import REC修复 正确的应该是记录下入口点 -> LoadPe脱壳 -> Import REC修复 最后, 接教程里的步骤进行就可以了. 好像还可以用LoadPe 重建一下PE表, 文件大小会小一点, 暂时不知道有啥用处! 继续学习中. |
