在拆箱時，您是否可以找到Aspack 2.12的ECX值或ESP值？

Question

我在教自己如何做惡意軟件分析。在試圖分析在USB驅動器上發現的惡意文件時，我注意到這個惡意軟件包裝着Aspacker 2.12（PEiD）。我從來沒有遇到過Aspack，並且快速的谷歌搜索讓我看到了這個視頻：http://www.youtube.com/watch?v=I3QeEqC4-jE 這個傢伙說找到ECX寄存器找到原始入口點。

另一個谷歌搜索導致我在網站上的另一個教程調用tuts4you（我不能發佈鏈接，因爲你需要下載文件來查看教程），但這傢伙說，找到ESP寄存器和EDI寄存器並做完全相同的事情。

它們都使用ollydbg並導入REC，看起來教程顯示的是完全相同的東西 - 即找到用於解包ASpack的OEP。

因爲我對此很陌生，有人會介意解釋哪一個是正確的，爲什麼？

Answer 1

希望這個問題不要太過時... 有更多的方法來完成這項任務。您可以按照上述教程中的步驟或嘗試其他方式（通常取決於封裝器版本/選項等）。提一個替代方法，試圖找到在你打包的可執行以下說明：

6800000000 push 0 
C3   retn 

設置斷點這push 0指令並運行可執行文件。此指令將在封裝器代碼執行期間進行修改，並且0（DWORD 0x000000）將被替換爲原始入口點的地址（DWORD）（例如，指令看起來像push 00451000）。

一旦執行，OEP的地址將被壓入堆棧，接下來ret指令將把它作爲執行繼續的返回地址....因此將EIP（指令指針）設置爲原始入口點。

對於搜索這些說明，我推薦一些十六進制編輯器或HIEW32 ...搜索以下十六進制模式： 6800000000C3