UPX快速定位OEP

两种技巧

都是基于PUSHAD/POPAD的指令特点.
朴素跟踪一遍解压缩过程, 可以发现EP代码都是在PUSHAD/POPAD指令之间, 所以解压完之后跳转到OEP的这一短暂过程就发生在POPAD和JMP指令之间. 基本思想就是断点到POPAD之后.

一

在POPAD指令之后的JMP指令处下断点, 执行就完成了解压过程, 再跟进就是OEP

可能会有多个POPAD指令, 一条条找下来发现其后接JMP的那一条大概率就是
跟进之后验证知道OEP是0100739D.

二

在PUSHAD命令后查看栈, 可以看到8个寄存器的值被保存于栈中(dump窗口), 准确到保存ESP值的地址处, 右键设置Breakpoint -> Hardware, on access -> byte, 运行到断下的位置, 其下就是JMP到OEP的指令. 跟进就是OEP.
程序一开始刚执行完PUSHAD后, 搜索ESP的地址, 查看栈

ctrl + G goto 000DFF54 (即ESP的值作为栈地址
从下往上依次是EAX, ECX, EDX, EBX, ESP, EBP, ESI, EDI
下硬件断点, 对着000DFF54第一个字节处

F9运行, 会在栈碰到硬件断点时停下, 正好执行完POPAD
下面的JMP就是OEP的跳转指令了.

我直接好家伙

UPX快速定位OEP相关推荐

linux查找项目中的问题,教你如何快速定位项目中慢查询[项目管理]
1. 使用对象: 项目经理或者项目管理者 2. 数据库: mysql 3. 快速定位慢查询: 启动mysql时,启动慢查询日志: 3.1 Window系统: 第一种:bin\mysqlId.exe ...
90%的人会遇到性能问题，如何用1行代码快速定位？
阿里妹导读:在<如何回答性能优化的问题,才能打动阿里面试官?>中,主要是介绍了应用常见性能瓶颈点的分布,及如何初判若干指标是否出现了异常. 今天,齐光将会基于之前列举的众多指标,给出一些常 ...
Xcode中快速定位、快速查找、快速查看文档、快速解决不再打印等技巧
文章原文地址:http://blog.sina.com.cn/s/blog_68f324850102x4et.html 技巧一:快速定位 XGLog(@"----%s----%d------ ...
wp.qq.com.index.html,使用纯代码给WordPress添加文章目录功能,支持快速定位和多级目录...
wordpress是一款强大的博客系统,支持各种DIY,今天我就给大家带来使用纯代码给Wordpress添加文章目录的功能,使看文章更简单!并且支持点击目录标题快速定位到文章页面指定内容点. 一.文章 ...
linux下编译make文件报错“/bin/bash^M: 坏的解释器,使用grep快速定位代码位置
一.linux下编译make文件报错"/bin/bash^M: 坏的解释器参考文章:http://blog.csdn.net/liuqiyao_01/article/details/415 ...
iOS 快速定位约束冲突
iOS 快速定位约束冲突什么是约束冲突当你使用 AutoLayout 布局,你添加的约束不满足或者会造成系统布局冲突的时候,控制台就会打印冲突日志. 约束冲突示例 [LayoutConstrain ...
.net程序调试一：快速定位异常
.net程序调试一:快速定位异常参考文章: (1).net程序调试一:快速定位异常 (2)https://www.cnblogs.com/yuilin/p/3788796.html 备忘一下.
定位插件_微创新 | 开发PL/SQL插件，快速定位所需字段
点击上方蓝字?加入我们吧!成果ID:96749项目简介 PL/SQL Developer是公司数据支撑人员常年使用的数据库操作软件,提供了众多便利的功能.但同时还有一些地方可以优化,使其更适合我们的使 ...
网络故障排除工具 | 快速定位网络故障
网络故障排除对于网络技术专家和网络工程师是颇具挑战的工作.每当添加新的设备或网络发生变更时,新的问题就会出现,而且很难确定问题出在哪里.每一位网络工程师或专家都有自己的经验和必备工具,能让他们快速定位 ...

UPX快速定位OEP

两种技巧

一

二

UPX快速定位OEP相关推荐

最新文章

热门文章