IAT的加密的手动查找

核心提示： 0102159E8945 F0mov dword ptr ss:[ebp-10],eax 010215A1837D F0 00cmp dword ptr ss:[ebp-10],0 010215A575 16jnz short UnpackMe.010215BD 继续找段尾下断： 0102

0102159E　　　　8945 F0　　　　　　　　　　　　mov dword ptr ss:[ebp-10],eax

010215A1　　　　837D F0 00　　　　　　　　cmp dword ptr ss:[ebp-10],0

010215A5　　　　75 16　　　　　　　　　　　　　　jnz short UnpackMe.010215BD

继续找段尾下断：

010216CC　　　　68 64760201　　　　　　　　push UnpackMe.01027664　　　　　　　　　　　　　　　　　　　　　　　　　　　　; ASCII "WriteFile"

010216D1　　　　FF75 FC　　　　　　　　　　　　push dword ptr ss:[ebp-4]

010216D4　　　　FF75 F8　　　　　　　　　　　　push dword ptr ss:[ebp-8]

010216D7　　　　E8 90FCFFFF　　　　　　　　call UnpackMe.0102136C

010216DC　　　　83C4 0C　　　　　　　　　　　　add esp,0C

010216DF　　　　8945 E0　　　　　　　　　　　　mov dword ptr ss:[ebp-20],eax

010216E2　　　　837D E0 00　　　　　　　　cmp dword ptr ss:[ebp-20],0

010216E6　　　　74 08　　　　　　　　　　　　　　je short UnpackMe.010216F0

010216E8　　　　8B45 E0　　　　　　　　　　　　mov eax,dword ptr ss:[ebp-20]

010216EB　　　　A3 3C870201　　　　　　　　mov dword ptr ds:[102873C],eax

010216F0　　　　C9　　　　　　　　　　　　　　　　leave

010216F1　　　　C3　　　　　　　　　　　　　　　　retn＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝在此F2下断

F9运行中断后，取消断点，F7进入：

01021552　　　　83C4 0C　　　　　　　　　　　　add esp,0C