🚀 go-pugleaf

Matuzalem napisał(a):
> Tomasz Maciąg napisał(a):
> > Za pomocą PEExplorera próbuję disasemblować pewną DLLkę. Interesuje mnie w
> > niej jedna istrukcja:
> >
> > 81D1214E62FE    adc ecx,FE624E21h
> > Powyższy ciąg bajtów można znaleźć w DLLce bezpośrednio dowolnym
> > hexedytorem (jest to jedyny taki ciąg w pliku)
>
> Skąd ten pomysł, że w każdej dll-ce? ( ja tak to zrozumiałem :P )
>
> > Dziwi mnie to, że wg hexedytora dalej następuje:
> > D4C7 ...itd
>
> Może patrzysz na inny offset? (offset danych kodu nie zawsze zgadza
> się z offset-em w pliku)
>
> > Tymczasem wg PEExplorera następną istrukcją jest:
> > 51   push ecx
> > 50   push eax
> >
> > Skąd się bierze ta rozbieżność? Próbowałem w32dasmem, ale kosmos pokazuje,
> > wg niego jest tam sieczka, jakieś przypadkowe rozkazy wymieszane z
> > instrukcjami koprocesora, itp...
> > Coś robię nie tak, czy o czymś zapomniałem/nie wiem?
>
> Jesteś pewien, że przeglądasz kod z zakresu code a nie data?
> Ciąg '81D1214E62FE' na pewno nie jest tym co podajesz, po dekodowaniu:
>
> 81D1214E adc, 04E21h
> 62 ??
> FE inc b, [bx][si] ; ?
>
> > Mam jeszcze jedno pytanie: dawno temu w czasach Win98 używałem SoftICE do
> > hmm... powiedzmy debugowania :) i działało to fajnie. Jednak wypadłem z
> > obiegu, czy dziś jest jakaś wersja SoftICE która współpracuje z WinXP?
>
> Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
> uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
> udało, nawet z pełnym pakietem DriverStudio :] (mnie się udało
> częściowo, tzn. przy starcie działa, ale potem odmawiał
> posłuszeństwa, no i przy reboot/shutdown pojawiał się "blue
> screen")
>
> Pozdrawiam

Jeszcze sprawdziłem w W32Dasm i podaje to co Ty: "81D1214E62FE    adc
ecx,FE624E21h".
Moim zdaniem patrzysz na co innego (zły offset; segment/sekcja _DATA)

Pozdrawiam