汇编网首页登录博客注册
e56004474的学习博客
博客首页博客互动【做检测题】论坛求助

我的博客

个人首页 |  我的文章 |  我的相册 |  我的好友 |  最新访客 |  文章收藏 |  论坛提问 |  友情链接 |  给我留言  
图片载入中
学习动态
最新留言

[2019-11-23 09:56] 13.4 重建输入表

点击查看原图
示例Red_IT.exe(书中的示例程序)
1.手动重输入表时,注意 [2100] 函数名 可以按一节(16字节)一条 函数名 排列。(并非完全要紧凑排列函数名)
2.注意[2000]为 IAT,应该手动修正为 OD加载AIP中的实际模块地址,书中并没有提到要修正IAT。(书中的图片有显示修正过的数据,但并没有重点提到,估计被略过了)
3.dump脱壳文件时,切记 下的断点 不在要 代码 入口处 或者 入口处以内,因为 下断点是 改动代码字节为“CC”,你修复好 输入表后 还是不能正常运行,就即可能 是  把断点 下在了 代码入口点,比如示例Red_IT.exe的入口点是“1000”此处...
阅读全文 | 评论次数(3) | 浏览次数(831) | 所属类型(加密与解密(第三版本))

[2012-07-22 21:35] 关于第一个TrackMe的一个问题,在书(26-27页)

点击查看原图
首先在看雪论坛上搜索到的问题:
“大家好,我是新手,我在看加密和解密第三版的26-27页时,在我电脑上运行到4011b4行时数据窗口,在12f9d0行没有出现pediy几个字符啊,请问是什么原因。谢谢!(我在调试时寄存器eax右键有点堆栈
跟随,也有点数据跟随;如不点数据跟随数据窗口就在405000行,且不变)。”

=======================================================
看图1,执行到 call edi 这指令时,选中(在寄存器面板中操作)寄存器EAX,右键,选中follow in 

dump,然后数据面板如图2 显示,...
阅读全文 | 评论次数(1) | 浏览次数(1000) | 所属类型(加密与解密(第三版本))
页码数(1):  1