OD模糊查找特征码

为了更新数据,我们常常需要搜索特征码,但是OD里不能直接查找模糊数据.
近两天通过看壳的世界(前两课免费),我发现其实还是可以实现的,只是以前太粗心不会用.

比如我们搜索如下语句:
内存地址    二进制          汇编指令            备注
00735EC3    33C0            XOR EAX,EAX  //这条确定
00735EC5    83FF 1A         CMP EDI,1A  //不确定
00735EC8    0F95C0          SETNE AL  //确定
00735ECB    83C0 03         ADD EAX,3  //不确定
00735ECE    8BE8            MOV EBP,EAX  //确定

具体是按CTRL+B,也就是二进制搜索
那么我们将确定的二进制码打进去,然后不确定的用??来代替
原有
33C083FF1A0F95C083C0038BE8
模糊
33C0??????0F95C0??????8BE8

这样就可以查找出来了,简单吧.

好了这点不足说的技巧就说到这里,可能有的人早就知道了,
但是我确是今天才知道的,不敢藏着拿出来与还不知道的人分享一下.

转载于:https://www.cnblogs.com/rogee/archive/2011/02/01/1948722.html