好友 阅读权限 40
听众 最后登录 1970-1-1
本帖最后由 冥界3大法王 于 2020-7-27 11:38 编辑 https://www.lanzoux.com/iqYXOf0uu5a 这个为测试程序（crackme.exe and upx3.91) https://www.52pojie.cn/thread-1230748-1-1.html 因为先前没有研究过一个OD的脚本，后来学了些编程，比如Delphi/AHK/Python尝到些甜头，就觉得有了编程很多东西可以自动化实现很多个性化特殊需求。 说得不对之处还希望海涵！关键是吸引出高手引起共鸣，解决一些问题！ [Asm] 纯文本查看 复制代码
//start
msg "upx (3.91) unpacker"
msg "make sure you're at the entry point of the program before you continue"
pause
//clear breakpoints
bc
bphwc
//script start
step
bphws csp,r
erun
bphwc
//find oep jump
find cip,"80E9" //some pattern
cmp $result,0
je error
//go to OEP
bp $result+1
erun
bc
sti
//finish script
ret
error:
msg "didn't find oep jump"
ret
//start 这句学到了注释语句//开始，后面随意 msg "upx (3.91)继续之前请确保您在程序的入口点" 这个很简单就是弹信息框 还可以弹表达式 msg {2+3} 结果就是 消息框5
var aa1$,123455555 //你也可以反着写 msg {aa1$} 就调用了这个变量 当然 还能太弹太多太多的结果
不试你是无法体会到x32dbg/x64dbg命令行的强大的。
//clear breakpoint bc 清除全部CC断点bphwc 清除硬件断点//脚本开始，到这里，我们就开始正式的从入门地开始运行程序了
step 就相当于F8一下 bphws esp,r 想想你平时怎么esp定律的？ esp变红，bulabula,下个硬件访问断点呗 erun 这句是无视异常运行程序 bphwc 这个是清掉硬件断点
msg {cip} ，结果是00409D56 | 8D4424 80 | lea eax,dword ptr ss:[esp-80] | [esp-80]:"繯F" 这地址行！ 我发现我用它的这个找不到结果，所以 换成了 findallmem //查找内存页中oep跳转 findallmem esp,"E9 98 72 FF FF"
00409D56 这地址
cip ,"E9 98 72 FF FF" 却找不到？00409D56 | 8D4424 80 | lea eax,dword ptr ss:[esp-80] | je error 这句好解释，相等则转到错误 标签处 //转到OEP bp $result+1 用找到的那个结果变量+1 ，设个断点，由于上面不明白，所以这句也解释不通了。 erun 无视异常运行 bc 清掉cc断点 sti 就是StepInto/sti 其实就相当于F7了 //完成脚本 ret 一个函数一个子程序完成当然要return 返回了。 error: 这里定义了一个错误的标签后面加冒号 msg "不能找到oep跳转！" 弹框，任务失败！ ret 同理 一个吃货的试验过程说完了，希望楼下的明白人能拨云见日，指点迷津。
查看全部评分
发帖前要善用【论坛搜索 】 功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。
[复制链接]
发表于 2020-7-27 11:25
脚本执行到此行报错了；感觉老外给的脚本全是64位的。
