看了别人的一些文章,为了用起来方便,总结了如下规律,其中*****1A3代表虚拟地址的后3位,估计大家和我的应该一样

首先要做的就是用Lordpe查看OEP，用OD载入后计算出基址大小。

1.dump文件

在如下位置：

*****1A3 0F851EFFFFFF JNZ 00C700C7<======此处转跳若干次

*****1A9 6800800000 PUSH 00008000 <======到此处后，即可完全DUMP

2.重定位表地址以及大小的确定：

*****1E5    8BB5 39050000   MOV ESI,DWORD PTR SS:[EBP+539]<=====重定位表段的开始地址赋给ESI
*****1EB    03B5 22040000   ADD ESI,DWORD PTR SS:[EBP+422]<=====转换成VA
*****1F1    833E 00            CMP DWORD PTR DS:[ESI],0  <===ESI就是重定位表段开始的VA地址（1）

...........

*****25D    8BB5 41050000   MOV ESI,DWORD PTR SS:[EBP+541]<==ESI就是重定位表段结束的RVA地址（2）

重定位表RVA=[EBP+539],SIZE=（2）-（1）。

3.输入表开始地址的确定：

*****278    BE 70C30000     MOV ESI,0C370      <=====输入表段的开始地址赋给ESI

4.OEP确定

*****3AF    61              popad
*****3B0    75 08           jnz *****3BA
*****3B2    B8 01000000     mov eax,1
*****3B7    C2 0C00         retn 0C
*****3BA    68 D0E48B00     push *******<====真正入口点

然后用Lordpe修改OEP、重定位表RVA和大小以及输入表RVA即可。