蝸牛數(shù)學(xué)一年級

第第頁蝸牛數(shù)學(xué)一年級蝸牛數(shù)學(xué)一年級

發(fā)表于：2023-05-25來源：：點擊數(shù)：標(biāo)簽：蝸牛一年級數(shù)學(xué)

對象：:蝸牛數(shù)學(xué)一年級.exe下載/down/wn1.rar"工具:ollydbg1.08bw32dasmv10.0這個程序比較的麻煩，因為，算法在不同的兩個地方，算法分析過程首先脫殼用w32Dasm反一下，找到字符串“注冊成功”作如下分析==============

對象：:蝸牛數(shù)學(xué)一年級.exe

（下載）

/down/wn1.rar"

工具:ollydbg1.08b

w32dasmv10.0

這個程序比較的麻煩，因為，算法在不同的兩個地方，

算法分析過程

首先脫殼

用w32Dasm反一下，

找到字符串“注冊成功”

作如下分析

==================================================================================

:004FCDC88BD8movebx,eax

:004FCDCA33C0xoreax,eax我在這里下斷

:004FCDCC55pushebp

省掉M行代碼

:004FCE678B15C48B5000movedx,dwordptr[00508BC4]

:004FCE6D8B12movedx,dwordptr[edx]

:004FCE6F8B9254040000movedx,dwordptr[edx+00000454]一直往上看

:004FCE75E81A7FF0FFcall00404D94關(guān)鍵call

:004FCE7A757Cjne004FCEF8關(guān)鍵跳轉(zhuǎn)

:004FCE7C6A00push00000000

:004FCE7E668B0D2CCF4F00movcx,wordptr[004FCF2C]

:004FCE85B202movdl,02

*PossibleStringDataReffromCodeObj-"注冊成功！感謝您的使用，有問題

請E-mai"

-"l給我或通過聊天工具聯(lián)系。"

|

:004FCE87B838CF4F00moveax,004FCF38

:004FCE8CE89396F3FFcall00436524

==================================================================================

好了，運(yùn)行OD

下斷，注冊攔住了，分析如下

==================================================================================

004FCDCA|.33C0XOREAX,EAX

004FCDCC|.55PUSHEBP

004FCDCD|.681BCF4F00PUSHunpacked.004FCF1B

004FCDD2|.64:FF30PUSHDWORDPTRFS:[EAX]

004FCDD5|.64:8920MOVDWORDPTRFS:[EAX],ESP

004FCDD8|.8D55FCLEAEDX,DWORDPTRSS:[EBP-4]

004FCDDB|.8B83680300MOVEAX,DWORDPTRDS:[EBX+368]

004FCDE1|.E8EA9BF6FFCALLunpacked.004669D0;取第一格注冊碼

004FCDE6|.8B55FCMOVEDX,DWORDPTRSS:[EBP-4];

13BD0F0是注冊碼第一部份，存入

004FCDE9|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

004FCDEE|.8B00MOVEAX,DWORDPTRDS:[EAX]

004FCDF0|.0548040000ADDEAX,448;eax是上一次輸入的注冊碼，無聊

004FCDF5|.E8D27BF0FFCALLunpacked.004049CC

004FCDFA|.8D55F8LEAEDX,DWORDPTRSS:[EBP-8]

004FCDFD|.8B836C0300MOVEAX,DWORDPTRDS:[EBX+36C]

004FCE03|.E8C89BF6FFCALLunpacked.004669D0;取第二格注冊碼

004FCE08|.8B55F8MOVEDX,DWORDPTRSS:[EBP-8];

13A8860是注冊碼第二部分，再存入

004FCE0B|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

004FCE10|.8B00MOVEAX,DWORDPTRDS:[EAX]

004FCE12|.054C040000ADDEAX,44C;eax是上一次輸入的注冊碼，無聊

004FCE17|.E8B07BF0FFCALLunpacked.004049CC

004FCE1C|.8D45F4LEAEAX,DWORDPTRSS:[EBP-C]

004FCE1F|.50PUSHEAX

004FCE20|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

004FCE25|.8B00MOVEAX,DWORDPTRDS:[EAX]

004FCE27|.8B884C0400MOVECX,DWORDPTRDS:[EAX+44C];ecx取第二格的假注冊碼

004FCE2D|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4];神經(jīng)病

004FCE32|.8B00MOVEAX,DWORDPTRDS:[EAX];神經(jīng)病

004FCE34|.8B90480400MOVEDX,DWORDPTRDS:[EAX+448];edx取第一格的假注冊碼

004FCE3A|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4];神經(jīng)病

004FCE3F|.8B00MOVEAX,DWORDPTRDS:[EAX];神經(jīng)病

004FCE41|.E8DE1F0000CALLunpacked.004FEE24;算法call,把假注冊碼進(jìn)行計算。一定要

跟進(jìn)

004FCE46|.8B55F4MOVEDX,DWORDPTRSS:[EBP-C];返回假注冊碼算好后的數(shù)2210230840

004FCE49|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

004FCE4E|.8B00MOVEAX,DWORDPTRDS:[EAX]

004FCE50|.0554040000ADDEAX,454

004FCE55|.E8727BF0FFCALLunpacked.004049CC

004FCE5A|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

004FCE5F|.8B00MOVEAX,DWORDPTRDS:[EAX]

004FCE61|.8B80500400MOVEAX,DWORDPTRDS:[EAX+450];取入機(jī)器碼運(yùn)算后的值

004FCE67|.8B15C48B50MOVEDX,DWORDPTRDS:[508BC4];這時d:eax，把這個機(jī)器碼運(yùn)算后的值的

內(nèi)存地址記下來，地址為13BB49C這個數(shù)值非常重要，整個破解就靠這個地址了。

004FCE6D|.8B12MOVEDX,DWORDPTRDS:[EDX]

004FCE6F|.8B92540400MOVEDX,DWORDPTRDS:[EDX+454];取入運(yùn)算后的假注冊碼

004FCE75|.E81A7FF0FFCALLunpacked.00404D94;這里就是比較的call了，哈哈。

004FCE7A|.757CJNZSHORTunpacked.004FCEF8;最后決定性跳轉(zhuǎn)

004FCE7C|.6A00PUSH0;/Arg1=00000000

004FCE7E|.66:8B0D2CCMOVCX,WORDPTRDS:[4FCF2C];|

004FCE85|.B202MOVDL,2;|

004FCE87|.B838CF4F00MOVEAX,unpacked.004FCF38;|

004FCE8C|.E89396F3FFCALLunpacked.00436524;\unpacked.00436524

004FCE91|.A1C48B5000MOVEAX,DWORDPTRDS:[508BC4]

==================================================================================

好了，跟進(jìn)那個算法call

==================================================================================

004FEE24/$55PUSHEBP

004FEE25|.8BECMOVEBP,ESP

004FEE27|.6A00PUSH0

004FEE29|.6A00PUSH0

004FEE2B|.6A00PUSH0

004FEE2D|.6A00PUSH0

004FEE2F|.6A00PUSH0

004FEE31|.6A00PUSH0

004FEE33|.53PUSHEBX

004FEE34|.56PUSHESI

004FEE35|.57PUSHEDI

004FEE36|.894DF8MOVDWORDPTRSS:[EBP-8],ECX;存第二格入12f42cRSS:

004FEE39|.8955FCMOVDWORDPTRSS:[EBP-4],EDX;存第一格入12f430RSS:

004FEE3C|.8B7D08MOVEDI,DWORDPTRSS:[EBP+8];存入地址12f458內(nèi)為空

004FEE3F|.8B45FCMOVEAX,DWORDPTRSS:[EBP-4];存第一格入eaxWORD

004FEE42|.E8F15FF0FFCALLunpacked.00404E38;返回edx=3ac

004FEE47|.8B45F8MOVEAX,DWORDPTRSS:[EBP-8];存第二格入eaxWORD

004FEE4A|.E8E95FF0FFCALLunpacked.00404E38

004FEE4F|.33C0XOREAX,EAX;清0

004FEE51|.55PUSHEBP

004FEE52|.688CEF4F00PUSHunpacked.004FEF8C

004FEE57|.64:FF30PUSHDWORDPTRFS:[EAX]

004FEE5A|.64:8920MOVDWORDPTRFS:[EAX],ESP

004FEE5D|.8BC7MOVEAX,EDI

004FEE5F|.E8145BF0FFCALLunpacked.00404978

004FEE64|.8D45F4LEAEAX,DWORDPTRSS:[EBP-C]

004FEE67|.8B55FCMOVEDX,DWORDPTRSS:[EBP-4];13bbb84為第一格

004FEE6A|.E8A15BF0FFCALLunpacked.00404A10;返回ecx為4

004FEE6F|.8B45F4MOVEAX,DWORDPTRSS:[EBP-C];13bbb84為第一格

004FEE72|.E8D15DF0FFCALLunpacked.00404C48;返回eax為4

004FEE77|.8BF0MOVESI,EAX

004FEE79|.85F6TESTESI,ESI

004FEE7B|.7E47JLESHORTunpacked.004FEEC4;你爺?shù)?，搞半天是測試位數(shù)acked.004FEE

004FEE7D|.BB01000000MOVEBX,1

004FEE82|8B45F4/MOVEAX,DWORDPTRSS:[EBP-C];轉(zhuǎn)換字符開始

004FEE85|.8A4418FF|MOVAL,BYTEPTRDS:[EAX+EBX-1];依次存入字符到al

004FEE89|.3C50|CMPAL,50;跟50比跟字符'P'

004FEE8B|.750F|JNZSHORTunpacked.004FEE9C;不相等則跳到跟字符Y比

004FEE8D|.8D45F4|LEAEAX,DWORDPTRSS:[EBP-C]

004FEE90|.E80B60F0FF|CALLunpacked.00404EA0

004FEE95|.C64418FF3|MOVBYTEPTRDS:[EAX+EBX-1],30;等于P換成0

004FEE9A|.EB24|JMPSHORTunpacked.004FEEC0;進(jìn)行下一位比較轉(zhuǎn)換unpacked

004FEE9C|3C59|CMPAL,59;跟59比跟字符'Y'

004FEE9E|.750F|JNZSHORTunpacked.004FEEAF;不相等則跳到跟字符W比

004FEEA0|.8D45F4|LEAEAX,DWORDPTRSS:[EBP-C]

004FEEA3|.E8F85FF0FF|CALLunpacked.00404EA0

004FEEA8|.C64418FF3|MOVBYTEPTRDS:[EAX+EBX-1],31;等于Y換成1

004FEEAD|.EB11|JMPSHORTunpacked.004FEEC0;進(jìn)行下一位比較轉(zhuǎn)換unpacked

004FEEAF|3C57|CMPAL,57;跟57比跟字符'W'

004FEEB1|.750D|JNZSHORTunpacked.004FEEC0;不相等則比較下位字符

004FEEB3|.8D45F4|LEAEAX,DWORDPTRSS:[EBP-C]

004FEEB6|.E8E55FF0FF|CALLunpacked.00404EA0

004FEEBB|.C64418FF3|MOVBYTEPTRDS:[EAX+EBX-1],32;等于W換成2

004FEEC0|43|INCEBX

004FEEC1|.4E|DECESI

004FEEC2|.^75BE\JNZSHORTunpacked.004FEE82;轉(zhuǎn)換字符結(jié)束

004FEEC4|8D45F0LEAEAX,DWORDPTRSS:[EBP-10]

004FEEC7|.8B4DF4MOVECX,DWORDPTRSS:[EBP-C];存入第一格到ecx

004FEECA|.BAA4EF4F00MOVEDX,unpacked.004FEFA4;edx存入"$"字符

004FEECF|.E8C05DF0FFCALLunpacked.00404C94

004FEED4|.8B45F0MOVEAX,DWORDPTRSS:[EBP-10];Eax和13a8860變?yōu)?$5656"

004FEED7|.33D2XOREDX,EDX;清除edxX,

004FEED9|.E89AA8F0FFCALLunpacked.00409778;返回eax"5656",Ecx"$5656"

004FEEDE|.8BD7MOVEDX,EDI

004FEEE0|.E81BA7F0FFCALLunpacked.00409600;第一格算法，我這里返回5位數(shù)22102

一定要跟進(jìn)去，關(guān)鍵的關(guān)鍵啊

004FEEE5|.8D45F4LEAEAX,DWORDPTRSS:[EBP-C];存入第一格X,DWO

004FEEE8|.8B55F8MOVEDX,DWORDPTRSS:[EBP-8];存入第二格X,DWO

004FEEEB|.E8205BF0FFCALLunpacked.00404A10;返回ecx等于3cked

004FEEF0|.8B45F4MOVEAX,DWORDPTRSS:[EBP-C];13bd0f0為第二格7878

004FEEF3|.E8505DF0FFCALLunpacked.00404C48;返回eax為4ack

004FEEF8|.8BF0MOVESI,EAX

004FEEFA|.85F6TESTESI,ESI

004FEEFC|.7E47JLESHORTunpacked.004FEF45

004FEEFE|.BB01000000MOVEBX,1

004FEF03|8B45F4/MOVEAX,DWORDPTRSS:[EBP-C];

以下代碼與第一格的一模一樣，包括算法都一模一樣，用同一個算法程序

==================================================================================

再跟進(jìn)那個算法call里，代碼如下.

004095B4/$08C9ORCL,CL

004095B6|.7517JNZSHORTunpacked.0040

004095B8|.09C0OREAX,EAX;無聊啊，就是他自己啊

004095BA|.790EJNSSHORTunpacked.0040

004095BC|.F7D8NEGEAX

004095BE|.E807000000CALLunpacked.004095CA

004095C3|.B02DMOVAL,2D

004095C5|.41INCECX

004095C6|.4EDECESI

004095C7|.8806MOVBYTEPTRDS:[ESI],A

004095C9|.C3RETN

004095CA|$B90A000000MOVECX,0A

004095CF|52PUSHEDX

004095D0|.56PUSHESI

004095D1|31D2/XOREDX,EDX

004095D3|.F7F1|DIVECX;字符數(shù)值除以0A(整除余數(shù)在edx

004095D5|.4E|DECESI

004095D6|.80C230|ADDDL,30;dl加上30,3

004095D9|.80FA3A|CMPDL,3A;跟3A比，主要是保證dl里是數(shù)字

004095DC|.7203|JBSHORTunpacked.0040

004095DE|.80C207|ADDDL,7

004095E1|8816|MOVBYTEPTRDS:[ESI],;把dl移到11fcbf

004095E3|.09C0|OREAX,EAX

004095E5|.^75EA\JNZSHORTunpacked.004;

總結(jié)，除以0A取余加30變成數(shù)字，直到eax等于0D1]FEFFD8]

004095E7|.59POPECX;其實等效于十六進(jìn)制變?yōu)槭M(jìn)制

004095E8|.5APOPEDX

004095E9|.29F1SUBECX,ESI

004095EB|.29CASUBEDX,ECX

004095ED|.7610JBESHORTunpacked.0040

=======================================================================================

好了，我們應(yīng)該知道了，程序把我們輸入的值變成十進(jìn)制數(shù)跟一個值比，而這個值一定跟機(jī)器碼有關(guān)。

而這個運(yùn)算，在我們跟蹤時沒有發(fā)現(xiàn)運(yùn)算痕跡，

初步猜測可能在運(yùn)行時就運(yùn)算了，而我們唯一的線索就是我剛才叫你們記下的那個值的地址13BB49C

所以，我只能注意這個地址了，

于是我一直跟蹤，花了好多時間，終于找到了，下面這段程序。

這個程序就是麻煩在這里

=======================================================================================

004FEC21|.7512JNZSHORTunpacked.004F

004FEC23|.8B45FCMOVEAX,DWORDPTRSS:[E

004FEC26|.0544040000ADDEAX,444;哈哈，下面這個字符串就是機(jī)器碼了P-4]]FEFF

004FEC2B|.BA10EE4F00MOVEDX,unpacked.004FEE;ASCII"661023D"

004FEC30|.E8975DF0FFCALLunpacked.004049CC

004FEC35|8B45FCMOVEAX,DWORDPTRSS:[E;返回機(jī)器碼地址13a8860

004FEC38|.8B88440400MOVECX,DWORDPTRDS:[E;返回機(jī)器碼地址13a8860

004FEC3E|.8B45FCMOVEAX,DWORDPTRSS:[E

004FEC41|.0544040000ADDEAX,444;神經(jīng)病,又入機(jī)器碼到eax

004FEC46|.BA20EE4F00MOVEDX,unpacked.004FEE;字符"P"，哈哈明白了吧，怎樣練成機(jī)器碼的E0-4]4]EFFD8]

004FEC4B|.E84460F0FFCALLunpacked.00404C94

004FEC50|.8D45F8LEAEAX,DWORDPTRSS:[E

004FEC53|.E8205DF0FFCALLunpacked.00404978

004FEC58|.8B45FCMOVEAX,DWORDPTRSS:[E

004FEC5B|.8B80440400MOVEAX,DWORDPTRDS:[E;切，終于練成(P661-023D)機(jī)器碼13BA9944]EFFD8]

004FEC61|.E8E25FF0FFCALLunpacked.00404C48;返回機(jī)器碼長度8入EAX.

004FEC66|.8BF0MOVESI,EAX;肯定有行動了，才入esi

004FEC68|.85F6TESTESI,ESI;測測是不是空的，我暈死

004FEC6A|.7E6BJLESHORTunpacked.004F

004FEC6C|.BB01000000MOVEBX,1;哈哈，肯定是運(yùn)算開始了

004FEC71|8B45FC/MOVEAX,DWORDPTRSS:[;拷，地址換算X,DWOR

004FEC74|.8B80440400|MOVEAX,DWORDPTRDS:[;移入機(jī)器碼AX,DW

004FEC7A|.8A4418FF|MOVAL,BYTEPTRDS:[EA

004FEC7E|.04D0|ADDAL,0D0;字符值加上0d0D0

004FEC80|.2C0A|SUBAL,0A;減掉0a

004FEC82|.7328|JNBSHORTunpacked.004;當(dāng)且僅當(dāng)(SFXOROF)=1時,也就是看是否是字母1]FFD8]

004FEC84|.8D85E8FFFE|LEAEAX,DWORDPTRSS:[;以下是上面條件不成立的算法

004FEC8A|.8B55FC|MOVEDX,DWORDPTRSS:[;拷，地址換算

004FEC8D|.8B92440400|MOVEDX,DWORDPTRDS:[;移入機(jī)器碼到edxW

004FEC93|.8A541AFF|MOVDL,BYTEPTRDS:[ED;移入字符到dl

004FEC97|.E8C45EF0FF|CALLunpacked.00404B60

004FEC9C|.8B95E8FFFE|MOVEDX,DWORDPTRSS:[

004FECA2|.8D45F8|LEAEAX,DWORDPTRSS:[

004FECA5|.E8A65FF0FF|CALLunpacked.00404C50;返回edx為原字符

004FECAA|.EB27|JMPSHORTunpacked.004;第二種情況結(jié)束，也就是如果是數(shù)字則不變004ECD3]FEFFE8]

004FECAC|8B45FC|MOVEAX,DWORDPTRSS:[;第一種情況的算法，即如果是字母

004FECAF|.8B80440400|MOVEAX,DWORDPTRDS:[

004FECB5|.0FB64418FF|MOVZXEAX,BYTEPTRDS:

004FECBA|.8D95E4FFFE|LEAEDX,DWORDPTRSS:[

004FECC0|.E83BA9F0FF|CALLunpacked.00409600;字母變成數(shù)字的算法啊

004FECC5|.8B95E4FFFE|MOVEDX,DWORDPTRSS:[;p變成80

004FECCB|.8D45F8|LEAEAX,DWORDPTRSS:[

004FECCE|.E87D5FF0FF|CALLunpacked.00404C50;這個call也要跟返回ecx為2404C5

004FECD3|43|INCEBX

004FECD4|.4E|DECESI

004FECD5|.^759A\JNZSHORTunpacked.004;算好后值為(P)80661-02368(D)EC71

004FECD7|8D45F4LEAEAX,DWORDPTRSS:[E

004FECDA|.8B55F8MOVEDX,DWORDPTRSS:[E;引入算好后的地址13bb620［8066102368］]FEFFE4]

004FECDD|.E82E5DF0FFCALLunpacked.00404A10

004FECE2|.8D45F8LEAEAX,DWORDPTRSS:[E;引入算好后的地址13bb620［8066102368］]FEFFE4]

004FECE5|.E88E5CF0FFCALLunpacked.00404978

004FECEA|.8B45F4MOVEAX,DWORDPTRSS:[E;引入算好后的地址13bb620［8066102368］]FEFFE4]

004FECED|.E8565FF0FFCALLunpacked.00404C48;返回算好后值的長度到eax00404C48

004FECF2|.8BD8MOVEBX,EAX;再移到ebx,EA

004FECF4|.83FB01CMPEBX,1;跟1比EB

004FECF7|.7C25JLSHORTunpacked.004FE

004FECF9|8D85E0FFFE/LEAEAX,DWORDPTRSS:[

004FECFF|.8B55F4|MOVEDX,DWORDPTRSS:[;引入算好后的地址13bb620［8066102368］]FEFFE0]

004FED02|.8A541AFF|MOVDL,BYTEPTRDS:[ED;依次移入算好后的字符EPTRDS:[

004FED06|.E8555EF0FF|CALLunpacked.00404B60

004FED0B|.8B95E0FFFE|MOVEDX,DWORDPTRSS:[

004FED11|.8D45F8|LEAEAX,DWORDPTRSS:[

004FED14|.E8375FF0FF|CALLunpacked.00404C50

004FED19|.4B|DECEBX

004FED1A|.85DB|TESTEBX,EBX;總結(jié)，根本就是首尾換位而已BP-

004FED1C|.^75DB\JNZSHORTunpacked.004;完成后，變?yōu)?632023608地址在13bb7bc9]FEFFE0]

004FED1E|8D45F4LEAEAX,DWORDPTRSS:[E

004FED21|.8B55F8MOVEDX,DWORDPTRSS:[E;移入算后的8632023608地址在13bb7bc8]]FEFFE

004FED24|.E8E75CF0FFCALLunpacked.00404A10

004FED29|.8D45F8LEAEAX,DWORDPTRSS:[E

004FED2C|.E8475CF0FFCALLunpacked.00404978

004FED31|.8B45F4MOVEAX,DWORDPTRSS:[E;移入算后的8632023608地址在13bb7bcC]]FEFFE

004FED34|.E80F5FF0FFCALLunpacked.00404C48;又取出該值的長度到eax.00404C48

004FED39|.8BF0MOVESI,EAX

004FED3B|.85F6TESTESI,ESI;不能為0啊SI,E

004FED3D|.7E74JLESHORTunpacked.004F

004FED3F|.BB01000000MOVEBX,1;唉，還算，好無聊啊。D

004FED44|8B45F4/MOVEAX,DWORDPTRSS:[;頭暈啊，又要算了DWORDPT

004FED47|.807C18FF3|CMPBYTEPTRDS:[EAX+E;跟字符0比啊TEPT

004FED4C|.7522|JNZSHORTunpacked.004;不等于0則跳到4FED70acked.

004FED4E|.8D85DCFFFE|LEAEAX,DWORDPTRSS:[;等于需則用第二種算WORDPTR

004FED54|.8B55F4|MOVEDX,DWORDPTRSS:[

004FED57|.8A541AFF|MOVDL,BYTEPTRDS:[ED

004FED5B|.E8005EF0FF|CALLunpacked.00404B60

004FED60|.8B95DCFFFE|MOVEDX,DWORDPTRSS:[

004FED66|.8D45F8|LEAEAX,DWORDPTRSS:[;說白了，如果等于0還是0啊PTRSS:[B

004FED69|.E8E25EF0FF|CALLunpacked.00404C50

004FED6E|.EB3F|JMPSHORTunpacked.004

004FED70|8D85D4FFFE|LEAEAX,DWORDPTRSS:[;開始第一種算X,DWOR

004FED76|.8B55F4|MOVEDX,DWORDPTRSS:[

004FED79|.8A541AFF|MOVDL,BYTEPTRDS:[ED;再次移入dl成偏移地址PTRDS:[

004FED7D|.E8DE5DF0FF|CALLunpacked.00404B60

004FED82|.8B85D4FFFE|MOVEAX,DWORDPTRSS:[;字符再入eax,DWO

004FED88|.E8AFA9F0FF|CALLunpacked.0040973C;返回eax為字符，ecx為地址040973CB

004FED8D|.50|PUSHEAX;壓入SH

004FED8E|.B80A000000|MOVEAX,0A;eax=0a

004FED93|.5A|POPEDX;彈出，即edx=字符8

004FED94|.2BC2|SUBEAX,EDX;把eax減去edxDX

004FED96|.8D95D8FFFE|LEAEDX,DWORDPTRSS:[

004FED9C|.E85FA8F0FF|CALLunpacked.00409600

004FEDA1|.8B95D8FFFE|MOVEDX,DWORDPTRSS:[

004FEDA7|.8D45F8|LEAEAX,DWORDPTRSS:[

004FEDAA|.E8A15EF0FF|CALLunpacked.