- 博客(3)
- 问答 (1)
- 收藏
- 关注
RSS订阅原创 NSpack脱壳学习笔记
1,esp定律法： 开头pushfd(然后将32位标志寄存器EFLAGS压入堆栈)和pushad（将所有的32位通用寄存器压入堆栈）发现esp发生了突变，这样就可以使用esp定律法，发现到了popfd(标志寄存器出栈)，发现一个大跨度的jmp//难道又和upx一样吗，这脱壳还真一个德行啊 我真傻，看到jmp oep就直接想单步进入，而不知道要先出栈，害我搞半天，为什么教程单步就能走到，为什么我
2016-08-30 22:33:45
808
原创 upx实战
今天拿到一个作业，感觉和之前接触的都不一样（其实很简单） 找到jmp oep之后应该是按F4 (run to selection)而不是傻傻的就按F7 step into进去 oep可能多种多样，不可只死死认住一个 可用lordPE来找到进程 *完整转存* 或者 *完整脱壳*？？？保存好一个dump.exe 后再使用Import REConstructor，使用IAT自动搜
2016-08-29 22:57:25
567
原创 upx脱壳学习笔记
目前我所知upx脱壳的三种方法 1,单步跟踪法：发现往回跳的都给我按F2 Breakpoint，如果遇见连续多jump就在最后个jump后设置断点，不停的找啊找，要有耐心 2,esp定律法：首先先step over（F8）pushad压栈，同时会发现esp发生改变，再使用command命令输入hh esp值 或 hr esp值 dump中会跳转到esp的位
2016-08-26 23:11:35
664
空空如也
栈---进制转换_C语言，将int类型的值赋给top，实现不了
2017-02-13
TA创建的收藏夹 TA关注的收藏夹
TA关注的人