最后一次异常法_操作笔记

最后一次异常法

首先要把

Alt+o 调试设置 把忽略 所有异常的 √都取消掉

因为 要让异常出现

按SHIFT+F9 让异常出现 数几次 直到软件异常

这些异常就是壳的代码 断在最后一次异常

 

教程显示SE处理程序 有可能是SE句柄 反正是

SE开头的

 右键反汇编窗口跟随

断下 se这里  后单步跟踪 注意向上的跳转

- Jmp ebp 如果是-好 没有上 没有下 通常是一个

很大的跳转

当处理完之后的最后一次异常，壳将会把控制权交换给应用程序， OEP ,也就不远了。。。

作业解答：
1、问脱壳插件有异常，提示内存无法读取。
解答：不要用win7/win8脱壳，换论坛xp虚拟机，原因是ASLR基地址随机化脱壳插件获取的地址不对。
2、问为什么脱壳地址和视频里的地址不同。
解答：如上一问题，不要用win7/win8脱壳，换论坛xp虚拟机，原因是ASLR基地址随机化导致地址不同。
3、问异常法脱壳去掉忽略异常后怎么无法暂停。
解答：OD插件--StrongOD--Options--Skip Some Exceptions选项取消，重启OD再试试。

SE=Structured Exception
结构化异常。。。