-
-
用PEiD查的时候是arm脱,入口点是00172379,脱好后就无法运
-
-
用PEiD查的时候是arm脱,入口点是00172379,脱好后就无法运
我脱好了可是无法运行....一打开就非法操做...
00572379 >/$ 55 PUSH EBP
0057237A |. 8BEC MOV EBP,ESP
0057237C |. 6A FF PUSH -1
0057237E |. 68 78725900 PUSH MLEx.00597278
00572383 |. 68 601D5700 PUSH MLEx.00571D60 ; SE handler installation
00572388 |. 64:A1 0000000>MOV EAX,DWORD PTR FS:[0]
0057238E |. 50 PUSH EAX
0057238F |. 64:8925 00000>MOV DWORD PTR FS:[0],ESP
00572396 |. 83EC 58 SUB ESP,58
00572399 |. 53 PUSH EBX
0057239A |. 56 PUSH ESI
0057239B |. 57 PUSH EDI
0057239C |. 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP
0057239F |. FF15 4C415900 CALL DWORD PTR DS:[<&KERNEL32>; kernel32.GetVersion
005723A5 |. 33D2 XOR EDX,EDX
用ARM方法脱壳....下了
BP WaitForDebugEvent这个断点,在下Bp WriteProcessMemory这个就运行程序了.......
很怪,下了后要运行好多次
那位能帮我看看这个是什么壳吗?.我用ARM的方法脱到最后就无法运行了
下面是我脱好的程序
4d8K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8A6k6#2)9J5k6h3#2G2L8r3W2^5P5W2)9J5k6h3y4G2L8g2)9J5c8X3y4Y4i4K6u0W2M7X3q4J5
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课