Jdpack的脱壳及破解

　破解: 　　破解它可难倒了我,我用kwdsm反汇编后,半天都摸不着头脑 　　没有办法只有载入已加壳的Notepad.exe跟踪,发现多了一段代码 　　0187:0040D3EA 6A30 PUSH BYTE 30 //就是多了这么一段 　　0187:0040D3EC 8D9D4D324000 LEA EBX,[EBP 0040324D] // 　　0187:0040D3F2 53 PUSH EBX // 　　0187:0040D3F3 8D9D61324000 LEA EBX,[EBP 00403261] // 　　0187:0040D3F9 53 PUSH EBX // 　　0187:0040D3FA 6A00 PUSH BYTE 00 // 　　0187:0040D3FC FF95D5314000 CALL NEAR [EBP 004031D5] //这里弹出提示窗口 　　0187:0040D402 8B9565344000 MOV EDX,[EBP 00403465] 　　0187:0040D408 8B85ED314000 MOV EAX,[EBP 004031ED] 　　0187:0040D40E 03C2 ADD EAX,EDX 　　0187:0040D410 8944241C MOV [ESP 1C],EAX 　　0187:0040D414 61 POPA 　　0187:0040D415 50 PUSH EAX 　　0187:0040D416 C3 RET 　　再次使用KWDSM反汇编,找到 　　* Referenced by a (U)nconditional or (C)onditional Jump at Addresses: 　　|:00402BE8(C), :00402E57(C) 　　| 　　:00402FAA 6A30 push 00000030 // 　　:00402FAC 8D9D4D324000 lea ebx, dword ptr [ebp 0040324D] 　　:00402FB2 53 push ebx 　　:00402FB3 8D9D61324000 lea ebx, dword ptr [ebp 00403261] 　　:00402FB9 53 push ebx 　　:00402FBA 6A00 push 00000000 　　:00402FBC FF95D5314000 call dword ptr [ebp 004031D5] //这断和那断多的代码不是一样吗? 　　:00402FC2 8B9565344000 mov edx, dword ptr [ebp 00403465] 　　:00402FC8 8B85ED314000 mov eax, dword ptr [ebp 004031ED] 　　:00402FCE 03C2 add eax, edx 　　:00402FD0 8944241C mov dword ptr [esp 1C], eax 　　:00402FD4 61 popad 　　:00402FD5 50 push eax 　　:00402FD6 C3 ret 　　于是跳转到402e57

最新评论