PECompactÊÇÒ»¿îÄÜѹËõ¿ÉÖ´ÐгÌÐò(ºó׺ÃûΪEXE)µÄѹËõ¼Ó¿Ç¹¤¾ß£¬Ñ¹ËõÂʼ«¸ß£¬Ñ¹ËõºóµÄ³ÌÐò²»Óûº½âѹÁ¦¾Í¿ÉÒÔÁ¢¼´ÔË×÷£¡PECompact¸ù¾ÝѹËõ±àÂë¡¢Êý¾ÝÐÅÏ¢¡¢ÓйØÙYԴʹѹËõÄÜ×öµ½100%£¬ÓÐÐëÒªµÄ¿Í»§¿ÉÒÔÀ´Ãâ·ÑÏÂÔظÐÊÜ£¡

Èí¼þ¼ò½é

¸ÃÈí¼þ¿ª·¢µÃÊ®·ÖºÃÓ᣸ù¾Ý¼òÒ×µÄÈÝ»ý²Ù×Ý£¬À´É趨ѹËõµÈ¼¶£¬ËæºóÌôѡҪѹËõµÄ³ÌÐòÖÖÀà¡£¸ß¼‰Å䱸ÐÂÏîÄ¿°üÀ¨Çåµ¥²Ëµ¥À¸£¬¸øÓèÁËÐí¶àÑ¡ÔñÏѹËõÌáÉýµÄÉ趨£¬ÊDz»ÊÇÌáÉýÎĵµÖнâѹËõ³ÌÐòµÄ³ß´ç»òËÙÂÊ£¬ÒªÑ¹ËõʲôÙYÔ´£¬ÒÔ¼°ËûÉ趨¡£

ÌØÐÔ

È«²¿³ÌÐòÔÚÑ¡±à³ÌÐòÖÐ׫д½øÐУ¬Ñ¹ËõʱӦÓÃÁË2¸öѹËõ¿â£ºµÚÒ»¸öÊÇaPLiB£¬ËüÊÇ×îºÃµÄѹËõÓÅ»¯Ëã·¨Ö®Ò»£»µÚ¶þ¸öÊÇJCALG1£¬ÓÉJeremy Collake׫д£¬ÓëaPLiB²»Ò»Ñù£¬ËüÊǶÔÍ⿪·ÅÔ´Â룬¿ÉÃâ·ÑÊÔÓá£

ÈÃÈ˾ªÑȵÄÊÇ£¬¼ÙÈçÓ¦ÓýϴóѹËõ£¬JCALG1µÄÌØÐÔÄËÖÁºÃÓÚaPLiB(µ«ÊÇ£¬Ñ¹Ëõ•r¼ä½Ï³¤)¡£ÔÚÔØÈëѹËõÎĵµÊ±£¬2¸ö¿â³£Óõĕr¼äͬÑù¡£

¸ÃÈí¼þ¿ª·¢µÃÊ®·ÖºÃÓ᣸ù¾Ý¼òÒ×µÄÈÝ»ý²Ù×Ý£¬À´É趨ѹËõµÈ¼¶£¬ËæºóÌôѡҪѹËõµÄ³ÌÐòÖÖÀà¡£ÈçÏÂͼ5-5ËùÏÔʾ£¬¸ß¼‰Å䱸ÐÂÏîÄ¿°üÀ¨Çåµ¥²Ëµ¥À¸£¬¸øÓèÁËÐí¶àÑ¡ÔñÏѹËõÌáÉýµÄÉ趨£¬ÊDz»ÊÇÌáÉýÎĵµÖнâѹËõ³ÌÐòµÄ³ß´ç»òËÙÂÊ£¬ÒªÑ¹ËõʲôÙYÔ´£¬ÒÔ¼°ËûÉ趨¡£ÔÚµµ°¸ÎļþÖУ¬Äú¿ÉÒÔÑ°ÕÒÓйØÕâÖÖÉ趨µÄÏêϸÃèÊö¡£

PECompactµÄ²Ëµ¥À¸Òª±È±ðµÄѹËõ³ÌÐòµÄ²Ëµ¥À¸ÉÔ´óµãPECompactµÄÁíÒ»¸ö·Ç·²×÷ÓÃÊÇ¿ÉÒÔÓ¦ÓÃÈí¼þ¡£ËüÊÊÓñàºÅ¡¢±à½âÂë¡¢¹«²¼ºÍGPAÈí¼þ£¬¶øÇÒ°üÀ¨±ãÓڸĶ¯µÄ¼ò½àÃ÷ÁËʵÀý¡£±ÈÈ磬¹«²¼Èí¼þÔÚ³ÌÐòÖð½¥´¦¼ÓÉÏÐÅÏ¢£¬ÊÊÓô´Ê¼È˵ķÖÏí¼þ¡£

µ«ÊÇ£¬¸Ã³ÌÐòÒ²ÊÇÓдæÔڵIJ»×㣺 PECompact±ãÓÚɾµô¡£ÔÚµµ°¸ÎļþÖУ¬¿ª·¢Õ߳ƣº¸Ã³ÌÐò½«¸´ÔÓµ÷½Ú¡£µ«Õâ²¢²»×¼È·£¬ÔڸóÌÐòÖУ¬ÕÒ²»×Å·´µ÷½Ú¶Ô²ß£¬Õâ´ú±í×Å£¬Ëü²¢²»ÊÇÄÑÒÔµ÷½Ú¡£ÔÚÆäËü²ãÃ棬PECompactÊÇ×îÓÅÒìµÄѹËõ³ÌÐòÖ®Ò»¡£ÈçÐè¸ßѹËõÂÊ£¬ÇÒ²»¹ØעѹËõ³ÌÐò±»Ëæ±ãÏû³ý£¬ÄÇüN£¬PECompactÊÇÒ»¸öºÜºÃµÄÌôÑ¡¡£

·½Ê½£ºESPÃØóÅÃëÍÑ(PECompact V2.X)

ODÉ趨£ººöÊÓ·Ç·¨·ÃÎÊÔËÐÐÄÚ´æ³öÏÖÒì³£,ÆäËû²»ºöÊÓÒ»ÇгöÏÖÒì³£¡£

00401000 B8 1C164800 MOV EAX,PEiD.0048161C ;¿ÇͨµÀµã

00401005 50 PUSH EAX

00401006 64:FF35 0000000PUSH Dword PTR FS:[0]

0040100D 64:8925 0000000MOV DWORD PTR FS:[0],ESP ;ÔÚÕâ¶ùÁ¢¼´Ó¦ÓÃESP»ù±¾¶¨ÂÉ

;ÏÂÓ²¼þÅäÖÃÖжϵã hr [ESP]Öµ(Ò»

°ãΪ0012ffbc)

;[F9]

00401014 33C0 XOR EAX,EAX

0048164B 83C4 04 ADD ESP,4 ;Í£ÔÚÕâ¶ù,ËæºóÍù϶ϵãµ÷ÊÔ¸ú¡£

0048164E 55 PUSH EBP

0048164F 53 PUSH EBX

00481650 51 PUSH ECX

00481651 57 PUSH EDI

004816E3 5A POP EDX

004816E4 5E POP ESI

004816E5 5F POP EDI

004816E6 59 POP ECX

004816E7 5B POP EBX

004816E8 5D POP EBP

004816E9 FFE0 JMP EAX ;¸úµ½Õâ¶ù,»¹¿ÉÒÔÓ¦ÓÃ[F4]Ö±

½ÓÔË×÷µ½µ±½ñ¡£

;Õâ¶ù±ãÊÇÖØÒªÌø,Ö±º½Í¨µÀµã

°´[F8]Ò»´Î,·É¡£

004816EB 0000 ADD BYTE PTR DS:[EAX],AL

004816ED 0000 ADD BYTE PTR DS:[EAX],AL

004816EF 0000 ADD BYTE PTR DS:[EAX],AL

004629EC 6A 60 PUSH 60 ;ÕæÕæÕýÕýͨµÀµã£¬ÔÚÕâ¶ùDUMP¾Í

¾ÍÐÐÁË¡£

004629EE 68 384A4300 PUSH PEiD.00434A38

004629F3 E8 B4180000 CALL PEiD.004642AC

004629F8 BF 94000000 MOV EDI,94

004629FD 8BC7 MOV EAX,EDI

004629FF E8 5CFDFFFF CALL PEiD.00462760

ÍѳöÈ¥µÄ³ÌÐòÒ»°ãÈ«ÊÇ¿ÉÒÔÒ»ÇÐÕý³£ÔËתµÄ£¬µ«ÀýÈç[98Îı¾Îĵµ]ÄÇÑùµÄ³ÌÐò±ØÐëÐÞ²¹¼üÈë±í¡£

ÐÞ²¹Ê±Ì

OEP=000010CC

RVA=000062E4

SIZE=00406520-004062E4=23C

Ê×ÏÈÓÃOD°Ñ¿ÇÍÑÏ£¬ÔÙÓÃImportRECÐÞ²¹ÎĵµÊ±ÐèÌôÑ¡µÄÎĵµÓ¦¸ÃÊÇODÍѵô¿ÇµÄÎĵµ¡£