调试原理-逆向pe-脱壳

这几天都没怎么写博客了，主要是因为在写文件系统过滤的时候老是 蓝屏，感觉心力交瘁，根本一点都不想再看内核代码，就逆向分析了一下peid的原理，前辈们关于这一块的分析的文章也很多，这里只是按照我个人的思路对peid进行逆向分析，大体弄清楚peid怎么对一个pe文件进行分析的。

工具：

逆向工具：ollydbg，peid
脱壳工具：lordpe，importREC，ollydump
分析对象：peid v0.94

分析过程：

收集信息

首先用peid分析peid 好奇怪的样子，得知加过壳，壳的版本为PECompact 2.x -> Jeremy Collake，不算是强壳，直接od载入程序，先脱壳再说

oep不完美脱壳

单步一步发现只有eax和eip变化，不管，在尝试单步一次，发现只有esp和eip变化，不多说，直接右键esp数据窗口跟随，然后下硬件访问断点，shift+F9忽略异常运行，中断在系统领空

77B8B5BB    3B45 F8         cmp eax,dword ptr ss:[ebp-0x8]
77B8B5BE    72 09           jb Xntdll_1A.77B8B5C9
77B8B5C0    3B45 F4         cmp eax,dword ptr</