欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  网络运营

ESP定律脱ASPack 2.12 -> Alexey Solodovnikov

程序员文章站 2022-07-07 22:33:14
只为个人记录后用,网上有很多   006FD001 > 60               PUSH...

只为个人记录后用,网上有很多

 

ESP定律脱ASPack 2.12 -> Alexey Solodovnikov

006FD001 > 60               PUSHAD                                   ; F8

006FD002   E8 03000000      CALL JSBuilde.006FD00A                   ; ESP

006FD007  -E9 EB045D45      JMP 45CCD4F7

006FD00C   55               PUSH EBP

006FD00D   C3               RETN

 

右键数据窗口跟随,硬件断点,F9运行

 

006FD3B0   75 08            JNZ SHORT JSBuilde.006FD3BA              ; F8

006FD3B2   B8 01000000      MOV EAX,1

006FD3B7   C2 0C00          RETN 0C

006FD3BA   68 94065300      PUSH JSBuilde.00530694

006FD3BF   C3               RETN                                     ; OEP

 

删除断点,F8到达 RETN  进入程序入口点

 

00530694     55             DB 55                                    ;  CHAR U

00530695     8B             DB 8B

00530696     EC             DB EC

00530697     83             DB 83

00530698     C4             DB C4

00530699     F0             DB F0

0053069A     53             DB 53                                    ;  CHAR S

 

分析代码

 

00530694   . 55             PUSH EBP                                 ;  程序入口点

00530695   . 8BEC           MOV EBP,ESP

00530697   . 83C4 F0        ADD ESP,-10

0053069A   . 53             PUSH EBX

 

OD自带插件脱壳 保存 

可以正常运行,查壳 Borland Delphi 6.0 - 7.0   可以看到编译器了

 ESP定律脱ASPack 2.12 -> Alexey Solodovnikov

from hoy0a1ds Blog