压缩与脱壳-脱壳高级篇 下

核心提示： *0167:004F34CD 50 PUSH EAX0167:004F34CE B890274F00 MOV EAX,004F27900167:004F34D3 50 PUSH EAX0167:004F34D4 B8A4274F00 MOV EAX,004F27A40167:004F34D

*********************************
0167:004F34CD 50 　　　　PUSH EAX
0167:004F34CE B890274F00 　　MOV EAX,004F2790
0167:004F34D3 50 　　　　PUSH EAX
0167:004F34D4 B8A4274F00 　　MOV EAX,004F27A4
0167:004F34D9 50 　　　　PUSH EAX
0167:004F34DA B8A0284F00 　　MOV EAX,004F28A0
0167:004F34DF 50 　　　　PUSH EAX
0167:004F34E0 B8AC274F00 　　MOV EAX,004F27AC
0167:004F34E5 50 　　　　PUSH EAX
0167:004F34E6 B8646C4E00 　　MOV EAX,004E6C64
0167:004F34EB 50 　　　　PUSH EAX
0167:004F34EC 8B4508 　　　　MOV EAX,[EBP+08]
0167:004F34EF 8D4824 　　　　LEA ECX,[EAX+24]
0167:004F34F2 8B4508 　　　　MOV EAX,[EBP+08]
0167:004F34F5 8B500C 　　　　MOV EDX,[EAX+0C]
0167:004F34F8 8B4508 　　　　MOV EAX,[EBP+08]
0167:004F34FB 8B4008 　　　　MOV EAX,[EAX+08]
0167:004F34FE E899F4FFFF 　　CALL 004F299C
0167:004F3503 33C0 　　　　XOR EAX,EAX <--在这里Dump .idata

下指令 W 421000 L 2000 azprdata.bin

OK. 再往下,直到

0167:004F3637 8D4818 　　　　LEA ECX,[EAX+18]
0167:004F363A 8B4508 　　　　MOV EAX,[EBP+08]
0167:004F363D 8B10 　　　　MOV EDX,[EAX]
0167:004F363F 8B4508 　　　　MOV EAX,[EBP+08]
0167:004F3642 8B401C 　　　　MOV EAX,[EAX+1C]
0167:004F3645 E8EAF6FFFF 　　CALL 004F2D34 <--F8进入
0167:004F364A 5F 　　　　POP EDI
0167:004F364B 5E 　　　　POP ESI

到了