Lena Reversing - tutorial 20_5

Lena Reversing tutorial 20_5

5번째 프로그램은 UnPackMe_NsPack3.5 이다. 

프로그램을 Ollydbg로 열어준다. 

이번엔 시작부분이 PUSHFD, PUSHAD로 시작한다. 

따라서 언패킹 루틴이 끝날때는 POPAD 명령어가 나올것이다. 

control + f를 눌러 검색을 해준다. 

POPAD 또는 POPFD 를 검색해준다. 

여러개가 검색되기 때문에 control + l 을 눌러주면서 하나하나 확인해준다. 

POPAD, POPFD 가 나온후 해당 프로그램의 .text 범위 내의 주소로 분기해야한다.

다음과 같이 찾을 수 있다. 

004271B0로 분기하고 있고 이 주소가 OEP로 생각할 수 있다. 

이번에도 Rebuild Import는 체크하고 dump 해준다.

끝.