这是完成注册了,好吧!保存一下
现在要去掉暗桩了,暗桩是怎么触发的?
当我们点转换ico的时候,暗桩就触发了!
而且暗桩是2次调用
本地调用来自 00407195, 004076D6 两处的段首分别下断,再次重新载入
00407130 |. /74 59 je XUnPack.0040718B 跳向正确的 0040718B
00407132 |. |8B15 70F24A00 mov edx,dword ptr ds:[0x4AF270] ; UnPack._Form3
00407138 |. |8B02 mov eax,dword ptr ds:[edx]
0040713A |. |05 1C030000 add eax,0x31C
0040713F |. |8945 BC mov [local.17],eax
00407142 |. |8B55 BC mov edx,[local.17]
00407145 |. |833A 00 cmp dword ptr ds:[edx],0x0
00407148 |. |74 07 je XUnPack.00407151
0040714A |. |8B4D BC mov ecx,[local.17]
0040714D |. |8B01 mov eax,dword ptr ds:[ecx]
0040714F |. |EB 05 jmp XUnPack.00407156
00407151 |> |B8 4A484A00 mov eax,UnPack.004A484A
00407156 |> |0FBE50 14 movsx edx,byte ptr ds:[eax+0x14]
0040715A |. |83FA 41 cmp edx,0x41
0040715D |. |75 30 jnz XUnPack.0040718F 程序重这里跳下0040718F
0040715F |. |8B0D 70F24A00 mov ecx,dword ptr ds:[0x4AF270] ;
00407165 |. |8B01 mov eax,dword ptr ds:[ecx]
00407167 |. |05 1C030000 add eax,0x31C
0040716C |. |8945 B8 mov [local.18],eax
0040716F |. |8B55 B8 mov edx,[local.18]
00407172 |. |833A 00 cmp dword ptr ds:[edx],0x0
00407175 |. |74 07 je XUnPack.0040717E
00407177 |. |8B4D B8 mov ecx,[local.18]
0040717A |. |8B01 mov eax,dword ptr ds:[ecx]
0040717C |. |EB 05 jmp XUnPack.00407183
0040717E |> |B8 4B484A00 mov eax,UnPack.004A484B
00407183 |> |0FBE10 movsx edx,byte ptr ds:[eax]
00407186 |. |83FA 5A cmp edx,0x5A
00407189 |. |75 04 jnz XUnPack.0040718F
0040718B |> \C645 CB 01mov byte ptr ss:[ebp-0x35],0x1 如果跳向这里,就可以跳过暗桩
0040718F |> 807D CB 00 cmp byte ptr ss:[ebp-0x35],0x0 此处的比较,jnz是不跳的
00407193 |. 75 20 jnz XUnPack.004071B5 可以跳过暗桩
00407195 |. E8 D6400000 call UnPack.0040B270 暗桩CALL
00407195, 004076D6两处的情况差不多,两处能跳过暗桩的关键跳转改之
00407130 jmp XUnPack.0040718B
00407647 jmp XUnPack.004076B4
修改好保存
重新载入
更换图标