参考文章:https://bbs.kanxue.com/thread-268159.htm 很多地方都是复制粘贴的,学习学习大佬的文章。
寻找入口点
1、加载程序F9运行,会发现停在push处,push操作将所有寄存器的值压栈,这一步之后会加载UPX的解压代码用于将原始程序解压。
2、upx工作原理首先将程序压缩。所谓的压缩包括两方面，一方面在程序的开头或者其他合适的地方插入一段代码，另一方面是将程序的其他地方做压缩。压缩也可以叫做加密，因为压缩后的程序比较难看懂，主要是和原来的代码有很大的不同。最大的表现也就是他的主要作用就是程序本身变小了。变小之后的程序在传输方面有很大的优势。其次就是在程序执行时，实时的对程序解压缩。解压缩功能是在第一步时插入的代码完成的功能。联起来就是：upx可以完成代码的压缩和实时解压执行。且不会影响程序的执行效率。
graph LR;
1-->2-->3-->4-->5-->6;
1是upx插入的代码，2，3，4是压缩后的代码。5，6是随便的什么东西。程序从1开始执行。而1的功能是将2，3，4解压缩为7，8，9。7，8，9就是2，3，4在压缩之前的形式。
graph LR;
1-->7-->8-->9-->5-->6;
一篇学习upx工作原理的文章:https://blog.csdn.net/zacklin/article/details/7419001 目前先放一放,有时间再学
3、了解之后会知道(虽然我还不太了解),跟踪到这部分栈弹出的位置,就是解压缩完成的地方,即可得到原始的代码
(1)F8将寄存器全部压栈,之后在堆栈窗口,找到标黑的地方(栈顶)下硬件断点(访问,Byte)
注意一定要等push完再下断点(第一次我就搞错了)
(2)F9继续执行,断到了此处,此时已经发现pop,说明UPX的解压过程已经结束.
