恶意代码分析实战 第十八章课后实验

Lab18-01.exe 首先使用peid进行查壳： 这是一个UPX壳。 下面进行脱壳操作： 将实验文件载入OD： 可以看到一开始进来就来到了这个位置，这个很明显不是OEP，那么就来找一下，最常用的方法就是查找尾部跳转指令。通常情况下，它会是在一段无效字节前的jmp指令： 可以看到409F43就是这个尾部跳转指令，先下断点然后执行，取消断点在步过。 然后就来到了这个位置，这里就是程序的OEP了。然

>>阅读原文<<