Так не всегда будет работать. Могут попасться файлы у которых последняя секция физически расположенная в файле виртуально располагается где-то...
опоздал с сылкой
CreateThread lpStartAddress The starting address of the new thread. This is typically the address of a function declared with the WINAPI calling...
esi, edi и ebx надо сохранять в DlgProc, а то на 2k не будет нормально работать
Вот еще один на масме кажется hxxp://rlpack.jezgra.net/RLPack.zip
hxxp://usar.pp.ru/download/yzpack.1.1.zip hxxp://usar.pp.ru/download/yzpack.v1.2.aplib.rar hxxp://usar.pp.ru/download/yzpack.v1.2.lzma.rar...
requiem Нормальный файл с импортами, чего его тестировать?
Наверное потому что файлы без импортов на win2k нормально не работают
VirtualAlloc + джамп на распакованный код у меня умещается в 70 байт, это при условии что адрес kernel32 и VirtualAlloc находятся динамически и то...
Можно еще подсунуть OllyDbg скомпилированный *.obj для анализа (ctrl+o)
Наверное просмотреть все LDR_MODULE через PEB_LDR_DATA.InLoadOrderModuleList и смотреть пересечения
Там групповое переименование, раньше оно по ctrl+t было :) Встроенная штука, появилась кажется с версий 5.50. Сейчас даже хиленькие регулярки...
В Total Commander'е жмешь ctrl+m и будет счастье. Кстати в TC тоже можно работать без мышки и сделать зеленые буквы на ч0рном фоне :)
вот здесь есть неплохой редактор http://scintilla.org/SciTE.html регулярки он правда не очень хорошо поддерживает, зато скрипты к нему пожно хоть...
IceStudent ;@goto end .486 .model flat,stdcall option casemap:none include windows.inc include kernel32.inc includelib...
я то понимаю что это бред, но мой масм такое компилирует нормально, почему бы и не попробывать?
может так? invoke RtlZeroMemory, ADDR hInstance, offset UnIniDataSize или так? UnIniDataSize equ $ - offset hInstance
movq mm1,[eax+ebx-1] так работает?
Был неправ. При LoadLibrary TlsCallBack вообще не срабатывает, а вот если библиотека уже прописана в импорте, то срабатывает сначала он, потом...
EvilsInterrupt Всегда считал все методы которые сводятся к твоему за один и тотже :) Правда то что я написал тоже можно считать за один, просто...
Имена участников (разделяйте запятой).