ReadMe.txt文件内容是:
提示是要找到入口点,之后找到ex寄存器的00401000处的内容。
- 参照大佬思路:
1、用OD载入待脱壳文件,如果出现压缩提示,选择“不分析代码”;
2、向下单步跟踪,实现向下的跳转;
3、遇到程序往上跳转的时候(包括循环),在回跳的下一句代码上单击并按键盘上的“F4”键跳过回跳指令;
4、OD中的白色线条表示跳转没有实理,不必理会,红色线条表示跳转已经实现;
5、如果刚载入程序的时候,在附近有一个CALL指令,那么就要按键盘上的“F7”键跟进这个CALL内,不然程序很容易运行起来;
6、在跟踪的时候,如果执行某个CALL指令后就运行,一定要按键盘上的“F7”键进入这个CALL之内再单步跟踪;
7、遇到在popad指令下的远转移指令时,要格处注意,因为这个远转移指令的目的地很可能就是OEP
脱壳过程
放到OD进行执行,出现提示要不要代码分析,选择否,如果选择了是,OD加载每次默认都会选择是(根据文件名加载),这个时候可以把要加载的文件的名字改一下,它就会按照第一次加载时的情况进行加载,或者可以调一下设置不记录历史参数选项