fogot大虾,看了你的那篇文章深感受益,于是我自己找了一个幻影2.33加密的软件,跟着一步一步,走到如下
7FF7D77A    F3:AA           REP STOS BYTE PTR ES:[EDI]                ;擦除外壳区段408000~435F89里的数据

7FF7D786    8D85 2F6C4000   LEA EAX,DWORD PTR SS:[EBP+406C2F]
7FF7D801    60              PUSHAD        ;注意喽...
7FF7D807    B8 534E5552     MOV EAX,52554E53
7FF7D811    BB 2D414200     MOV EBX,42412D
7FF7D81B    03DD            ADD EBX,EBP
7FF7D822    CC              INT3
7FF7D83A    66:3D 0000      CMP AX,0        ;AX中放的是调试标记，为非零存在调试软件
7FF7D843    61              POPAD
7FF7D84E    9C              PUSHFD                ;zf...

当我执行了这PUSHFD这条句话之后,程序却调用了另一段代码.
77F3526B    8B1C24          MOV EBX,DWORD PTR SS:[ESP]
77F3526E    51              PUSH ECX
77F3526F    53              PUSH EBX
77F35270    E8 BE380200     CALL ntdll.77F58B33
77F35275    0AC0            OR AL,AL
77F35277    74 0C           JE SHORT ntdll.77F35285
77F35279    5B              POP EBX
77F3527A    59              POP ECX
77F3527B    6A 00           PUSH 0
77F3527D    51              PUSH ECX
77F3527E    E8 D0FFFFFF     CALL ntdll.ZwContinue
77F35283    EB 0B           JMP SHORT ntdll.77F35290
77F35285    5B              POP EBX
77F35286    59              POP ECX
77F35287    6A 00           PUSH 0
77F35289    51              PUSH ECX
77F3528A    53              PUSH EBX
77F3528B    E8 EA000000     CALL ntdll.ZwRaiseException
77F35290    83C4 EC         ADD ESP,-14
77F35293    890424          MOV DWORD PTR SS:[ESP],EAX
77F35296    C74424 04 01000>MOV DWORD PTR SS:[ESP+4],1
77F3529E    895C24 08       MOV DWORD PTR SS:[ESP+8],EBX
77F352A2    C74424 10 00000>MOV DWORD PTR SS:[ESP+10],0
77F352AA    54              PUSH ESP
77F352AB    E8 08000000     CALL ntdll.RtlRaiseException
77F352B0    C2 0800         RETN 8

在这段代码中.出现了注册提示框.可我在这里面并没有看到他有对注册表进行检查啊...

能指点一下迷津吗?:D

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课