代码里很多这种结构：

000000014005FE4C | 53                   | push rbx

000000014005FE4D | 50                   | push rax

000000014005FE4E | 50                   | push rax

000000014005FE4F | 9C                   | pushfq

000000014005FE50 | E8 00000000          | call kctf.14005FE55

000000014005FE55 | 58                   | pop rax

000000014005FE56 | 48:35 38BA0900       | xor rax,9BA38

000000014005FE5C | 48:894424 10         | mov qword ptr ss:[rsp+10],rax

000000014005FE61 | 9D                   | popfq

000000014005FE62 | 58                   | pop rax

000000014005FE63 | C3                   | ret                                          |

实际就是jmp到014005FE55 xor 9BA38的地方

全部处理替换一下，再调试虽然还有些其它的垃圾代码，基本可以忍受了

从ReadFile断点开始得到读取输入的地方，从运行库返回走一段就能看到比较输入长度的地方：

0000000140083333                        | 48:83F8 54                | cmp rax,54

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课