内存镜像法:
载入OD:
![](https://i-blog.csdnimg.cn/blog_migrate/2ce0b8c62116e67b1529eeab8dd767d3.png)
内存镜像法在资源节下断点:
![](https://i-blog.csdnimg.cn/blog_migrate/ff38971f1f3bc739b4fa3f4031051b77.png)
运行,停在这里:
![](https://i-blog.csdnimg.cn/blog_migrate/36eef3a3f00a79553d080e22dd5a2bf3.png)
再下断点:
![](https://i-blog.csdnimg.cn/blog_migrate/ba8d4e75508cb10d5841de0a74a087e9.png)
运行,停在这里:
![](https://i-blog.csdnimg.cn/blog_migrate/b6db051f380e28c0bfa3590c0778929d.png)
往下跟踪,凡是向上跳的就F4跳过。
注意这里,如果F4跳过jmp到call的位置就会跑飞,所以我们F4跳到红框的位置:
![](https://i-blog.csdnimg.cn/blog_migrate/dfb472be712458633e4674ff50fd83ca.png)
直到这里,有一个大跳转:
![](https://i-blog.csdnimg.cn/blog_migrate/b4aa5b8394eed8fc682a8f526d0eb7ab.png)
就跳转到了OEP:
![](https://i-blog.csdnimg.cn/blog_migrate/d07dd47c88fe92071a025b38c26a697b.png)