您的位置：首页 → 精文荟萃 → 破解文章 → 被加壳vb5/6程序的OEP定位经验

被加壳vb5/6程序的OEP定位经验

时间：2004/10/15 0:56:00来源：本站整理作者：蓝点我要评论(0)

　
近日看了woodmann论坛上+splaj关于利用特征字符寻找被加壳程序的oep方法，颇有兴趣！结合我了解的vb5/6可执行文件的结构，说说如何定位其OEP。

任何反编译过vb程序的人，总会见到其OEP是如下结构：
//******************** Program Entry Point ********
:00401060 68B4114000 push 004011B4
:00401065 E8F0FFFFFF Call

对于以地址004011B4开始的一段代码，在vb程序结构中将之称为ExeInitStructure，保存着程序运行初始化所必须的资料；而其也必定是以特征字符“VB5!”开始。所以对于被加壳的vb5/6程序，可以运行后用winhex搜索内存，查到“VB5!”地址，在此为004011B4，再搜索hex值“B4114000”，即搜索到地址00401061，将此地址-1就是OEP：00401060


此外，利用vb函数addressof我们可以作一些研究工作。
建立一个vb标准exe工程，去除form，加入一个.bas文件，于中写入
Attribute VB_Name = "Module1"
Private Sub Main()
Dim a As Long, c As Long
c = getaddress(a, AddressOf Main)
MsgBox ("Start address of Main() is " + Hex(a - 16))
End Sub

Public Function getaddress(a As Long, X As Long)
a = X + 16
End Function

编译后运行，可以显示sub Main()代码的起始地址。有兴趣的不妨研究研究，看看如何突破addressof的局限，或找到替代函数

　　　　
　　　　
　　　　　
　　　　
　　　　
　　　　　

相关阅读 Windows错误代码大全 Windows错误代码查询激活windows有什么用Mac QQ和Windows QQ聊天记录怎么合并 Mac QQ和Windows QQ聊天记录Windows 10自动更新怎么关闭 如何关闭Windows 10自动更新windows 10 rs4快速预览版17017下载错误问题Win10秋季创意者更新16291更新了什么 win10 16291更新内容windows10秋季创意者更新时间 windows10秋季创意者更新内容kb3150513补丁更新了什么 Windows 10补丁kb3150513是什么

文章评论

查看所有0条评论>>

发表评论

我来说两句...

提交评论