2.基址重定位表
……
为了分析方便，先了解一下加壳前的EDRLIB.DLL信息。用W32DASM反汇编加壳前的EDRLIB.DLL，随意选取一个重定位数据。代码如下：
:004011DA 7509 jne 004011E5
:004011DC 833D6053400000 cmp dword ptr [00405360], 00000000
上面代码中的405360会被重定位成9D5360（以当时基址为准）。因此，只要对地址0X9D11e0设断，监视何处使“40”变成“9D”
问题：为什么是9D11E0。
另外我在脱此PECompact时，按精华六中的方法如只下HR 009D11C9则不能中断在XXXX11C9，下次再试试其他方法？
在OD中此壳我用手动跟踪方法一步一步跟踪到了OEP，第一次
在用IREc时报如下错误
Analysing process...
Module loaded: c:\windows\system32\ntdll.dll
Module loaded: c:\windows\system32\kernel32.dll
Module loaded: c:\windows\system32\user32.dll
Module loaded: c:\windows\system32\gdi32.dll
Module loaded: c:\windows\system32\advapi32.dll
Module loaded: c:\windows\system32\rpcrt4.dll
Module loaded: c:\windows\system32\imm32.dll
Module loaded: c:\windows\system32\lpk.dll
Module loaded: c:\windows\system32\usp10.dll
Module loaded: d:\edrlib.dll
Getting associated modules done.
Image Base:00400000 Size:00060000
->> Module selected: d:\edrlib.dll
Image Base:00400000 Size:0000D000
Can't read memory of the process!
请问是什么原因。在OD中将权限设为完全也是一样。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
