OEP查找样例

由于Upack会将IMAGE_OPTIONAL_HEADER的NumberOfRvvaAndSizes值设置为A（十六进制）(默认为10)所以导致异常。忽略报错后。无法跳转EP位置，停留在ntdll.dll区域。


使用stud_PE得知EP的值为01001018接着在OD查找并设置新的OEP更改EIP。

前两条指令读取010011B0的前四个字节，在加到EAX当中获得0100739D，挂断点跑程序。



在该功能函数下实现压缩代码过程，逐步跟进能够随时观察EDI所指的地址到底是什么值。


UPack 会使用导人的2个函数( LoadI ibraryA与GetProcAddress )边执行循环边构建原本notepad的IAT (先获取notepad中导入函数的实际内存地址，再写人原IAT区域)。该过程结束后，由0101FEAF地址处的RETN命令将运行转到OEP处。