Free, Freedom

DOS HEADER DOS STUB NT HEADER SECTION HEADER SECTION DOS header 밑에 DOS Stub 있고 옵션(DOS Stub은 없을 수도 있고, 각 파일마다 크기가 다름) VB, VC++, Delphi 로 컴파일 시 DOS Stub 에는 윈도우 프로그램을 도스환경에서 실행할때 오류 메시지를 보여주는 코드가 있다. IMAGE_DOS_HEADER : 문자열 MZ(0x4D5A) 로 시작한다. 윈도우 파일은 이 문자로 시작함. IMAGE_NT_HEADER : PE00 로 시작 (0x50450000), IMAGE_FILE_HEADER, IMAGE_OPTIONAL_HEADER32 IMAGE_FILE_HEADER : 파일속성(CPU 타입, 섹션수(코드, 데이터, 리소스 등), 파..

UPX 로 압축을 하면 코드는 PUSHAD 와 POPAD 는 한 쌍이 된다. PUSHAD 실행 후 맨위의 스택 주소를 덤프하여 BYTE H/W BreakPoint를 지정하고 실행하면 POPAD 다음에서 멈추게된다. 이떄, JMP 에 있는 주소가 OEP(Original Entry Point)가 된다. EOP 는 압축 전 실행파일의 EP가 된다. PUSHAD : EAX ~ EDI 값을 스택에 저장 POPAD : 스택에서 EAX ~ EDI에 복원

int WINAPI MessageBox(hOwner, "Text", "Ttile", Style); PUSH Style; PUSH Title; PUSH Text; PUSH hOwer; CALL MessageBaxA; 위와 같이 함수인자는 역순으로 스택에 저장 후 함수를 호출한다. 역순으로 PUSH 하는 이유는 POP 시 함수 인수 순서대로 됨.