Shark恒【逆向】笔记

第四课

        这个也没程序，网上找到的，peid查了查是NsPack 3.x，也是esp定律。

        脱壳后发现打开不了，据说是文件校验，下断getfilesize，因为这里主要是要要看看文件大小有没有改变吧。

        f9运行后，断在了系统的GetFileSize那里，那么栈顶储存的就是返回地址，直接跟随一下，就回到在哪调用的GetFileSize。

        我们单步几次，可以看到两个cmp。

c6c8就是文件大小吧，但好像又有点差别，不知道为啥呢

我们把那两个ja（a：above），因为脱壳了的话文件会变大嘛，一般壳都有压缩功能了

保存到文件就可以了。