herx1

yoda 1.0x Protector和PECompact 2.x双层壳脱壳笔记

下面是脱壳的简单记录：

程序开始处：
00465060 > 55              push    ebp
00465061    8BEC            mov     ebp, esp
00465063    53              push    ebx
00465064    56              push    esi
00465065    57              push    edi
00465066    E8 03000000     call    0046506E
0046506B    EB 01           jmp     short 0046506E
0046506D    E8 E8860000     call    0046D75A
00465072    00E8            add     al, ch
00465074    0300            add     eax, dword ptr [eax]
00465076    0000            add     byte ptr [eax], al
00465078    EB 01           jmp     short 0046507B
0046507A    E9 E8790000     jmp     0046CA67

004651D2    8BD5            mov     edx, ebp
004651D4    81C2 B6E54100   add     edx, 0041E5B6
004651DA    8D02            lea     eax, dword ptr [edx]             ; entrypoint ebp+41e5b6=00465066
004651DC    B9 77F94100     mov     ecx, 0041F977
004651E1    81E9 B6E54100   sub     ecx, 0041E5B6
004651E7    51              push    ecx
004651E8    50              push    eax
004651E9    E8 A8060000     call    00465896                         ; 计算壳EP处长度13c1的校验值
004651EE    83C4 08         add     esp, 8
004651F1    8BD5            mov     edx, ebp
004651F3    81C2 D4FC4100   add     edx, 0041FCD4
004651F9    8902            mov     dword ptr [edx], eax             ; 校验值（846f4）放入ebp+41fcd4

省略一部分代码
anti检查
00465574    8D3A            lea     edi, dword ptr [edx]
00465576    6A 00           push    0
00465578    68 80000000     push    80
0046557D    6A 03           push    3
0046557F    6A 00           push    0
00465581    6A 03           push    3
00465583    68 000000C0     push    C0000000
00465588    57              push    edi
00465589    8BD5            mov     edx, ebp
0046558B    81C2 E0FD4100   add     edx, 0041FDE0
00465591    FF12            call    dword ptr [edx]                  ; createfile检查softice
00465593    83F8 FF         cmp     eax, -1
00465596    74 19           je      short 004655B1
00465598    8BF8            mov     edi, eax
0046559A    57              push    edi
0046559B    8BD5            mov     edx, ebp
0046559D    81C2 2CFE4100   add     edx, 0041FE2C
004655A3    FF12            call    dword ptr [edx]
004655A5    6A 00           push    0
004655A7    8BD5            mov     edx, ebp
004655A9    81C2 F3FE4100   add     edx, 0041FEF3
004655AF    FF12            call    dword ptr [edx]
004655B1    8BD5            mov     edx, ebp
004655B3    81C2 46FF4100   add     edx, 0041FF46
004655B9    8D3A            lea     edi, dword ptr [edx]
004655BB    6A 00           push    0
004655BD    68 80000000     push    80
004655C2    6A 03           push    3
004655C4    6A 00           push    0
004655C6    6A 03           push    3
004655C8    68 000000C0     push    C0000000
004655CD    57              push    edi
004655CE    8BD5            mov     edx, ebp
004655D0    81C2 E0FD4100   add     edx, 0041FDE0
004655D6    FF12            call    dword ptr [edx]

计算校验值
0046572A    8BD5            mov     edx, ebp
0046572C    81C2 D0FC4100   add     edx, 0041FCD0
00465732    F702 10000000   test    dword ptr [edx], 10
00465738    74 3B           je      short 00465775
0046573A    64:FF35 3000000>push    dword ptr fs:[30]
00465741    58              pop     eax
00465742    85C0            test    eax, eax
00465744    78 0F           js      short 00465755
00465746    8B40 0C         mov     eax, dword ptr [eax+C]
00465749    8B40 0C         mov     eax, dword ptr [eax+C]
0046574C    C740 20 0010000>mov     dword ptr [eax+20], 1000
00465753    EB 20           jmp     short 00465775
00465755    6A 00           push    0
00465757    8BDD            mov     ebx, ebp
00465759    81C3 A6FD4100   add     ebx, 0041FDA6
0046575F    FF13            call    dword ptr [ebx]
00465761    85D2            test    edx, edx
00465763    79 10           jns     short 00465775
00465765    837A 08 FF      cmp     dword ptr [edx+8], -1
00465769    75 0A           jnz     short 00465775
0046576B    8B52 04         mov     edx, dword ptr [edx+4]
0046576E    C742 50 0010000>mov     dword ptr [edx+50], 1000
00465775    E8 03000000     call    0046577D
0046577A    EB 01           jmp     short 0046577D
0046577C - E9 8BD581C2     jmp     C2C82D0C
00465781    50              push    eax
00465782    FB              sti
00465783    41              inc     ecx
00465784    008B 3A037F3C   add     byte ptr [ebx+3C7F033A], cl
0046578A    8B32            mov     esi, dword ptr [edx]
0046578C    8B4F 54         mov     ecx, dword ptr [edi+54]
0046578F    8BD5            mov     edx, ebp
00465791    81C2 74FF4100   add     edx, 0041FF74
00465797    8D02            lea     eax, dword ptr [edx]
00465799    50              push    eax
0046579A    6A 04           push    4
0046579C    51              push    ecx
0046579D    8BD5            mov     edx, ebp
0046579F    81C2 50FB4100   add     edx, 0041FB50
004657A5    FF32            push    dword ptr [edx]
004657A7    8BD5            mov     edx, ebp
004657A9    81C2 B9FD4100   add     edx, 0041FDB9
004657AF    FF12            call    dword ptr [edx]                  ; VirtualProtect
004657B1    E8 61FEFFFF     call    00465617
004657B6    8BD5            mov     edx, ebp
004657B8    81C2 D0FC4100   add     edx, 0041FCD0
004657BE    F702 08000000   test    dword ptr [edx], 8
004657C4    0F84 19010000   je      004658E3
004657CA    68 04010000     push    104
004657CF    8BD5            mov     edx, ebp
004657D1    81C2 74FF4100   add     edx, 0041FF74
004657D7    8D3A            lea     edi, dword ptr [edx]
004657D9    57              push    edi
004657DA    6A 00           push    0
004657DC    8BD5            mov     edx, ebp
004657DE    81C2 D0FD4100   add     edx, 0041FDD0
004657E4    FF12            call    dword ptr [edx]                  ; GetModuleFileNameA
004657E6    6A 00           push    0
004657E8    68 80000000     push    80
004657ED    6A 03           push    3
004657EF    6A 00           push    0
004657F1    6A 01           push    1
004657F3    68 00000080     push    80000000
004657F8    57              push    edi
004657F9    8BD5            mov     edx, ebp
004657FB    81C2 E0FD4100   add     edx, 0041FDE0
00465801    FF12            call    dword ptr [edx]                  ; CreateFileA
00465803    83F8 FF         cmp     eax, -1
00465806    75 07           jnz     short 0046580F
00465808    33C0            xor     eax, eax
0046580A    E9 D4000000     jmp     004658E3
0046580F    8BF8            mov     edi, eax
00465811    6A 00           push    0
00465813    57              push    edi
00465814    8BD5            mov     edx, ebp
00465816    81C2 1CFE4100   add     edx, 0041FE1C
0046581C    FF12            call    dword ptr [edx]                  ; GetFileSizeA
0046581E    BA 78FF4100     mov     edx, 0041FF78
00465823    81EA 77F94100   sub     edx, 0041F977
00465829    2BC2            sub     eax, edx
0046582B    83E8 02         sub     eax, 2
0046582E    96              xchg    eax, esi
0046582F    56              push    esi
00465830    6A 40           push    40
00465832    8BD5            mov     edx, ebp
00465834    81C2 F0FD4100   add     edx, 0041FDF0
0046583A    FF12            call    dword ptr [edx]                  ; GlobalAllocA
0046583C    83F8 00         cmp     eax, 0
0046583F    75 05           jnz     short 00465846
00465841    E9 90000000     jmp     004658D6
00465846    93              xchg    eax, ebx
00465847    6A 00           push    0
00465849    8BD5            mov     edx, ebp
0046584B    81C2 74FF4100   add     edx, 0041FF74
00465851    8D02            lea     eax, dword ptr [edx]
00465853    50              push    eax
00465854    56              push    esi
00465855    53              push    ebx
00465856    57              push    edi
00465857    8BD5            mov     edx, ebp
00465859    81C2 0CFE4100   add     edx, 0041FE0C
0046585F    FF12            call    dword ptr [edx]                  ; ReadFileA
00465861    8BC3            mov     eax, ebx
00465863    8BCE            mov     ecx, esi
00465865    53              push    ebx
00465866    57              push    edi
00465867    51              push    ecx
00465868    50              push    eax
00465869    E8 28000000     call    00465896                         ; 计算校验值
0046586E    83C4 08         add     esp, 8
00465871    8BD5            mov     edx, ebp
00465873    81C2 54FB4100   add     edx, 0041FB54
00465879    8902            mov     dword ptr [edx], eax             ; 校验值=1A4DBC9放入ebp+41fb54

; 开始处理输入表
00466177    8BD5            mov     edx, ebp                         ; 开始处理输入表
00466179    81C2 58FB4100   add     edx, 0041FB58
0046617F    8D32            lea     esi, dword ptr [edx]
00466181    53              push    ebx
00466182    8BDD            mov     ebx, ebp
00466184    81C3 D0FC4100   add     ebx, 0041FCD0
0046618A    F703 20000000   test    dword ptr [ebx], 20
00466190    74 5A           je      short 004661EC
00466192    56              push    esi
00466193    8BDD            mov     ebx, ebp
00466195    81C3 74FF4100   add     ebx, 0041FF74
0046619B    8D3B            lea     edi, dword ptr [ebx]
0046619D    33C9            xor     ecx, ecx
0046619F    3E:837E 04 00   cmp     dword ptr [esi+4], 0
004661A4    74 1F           je      short 004661C5
004661A6    3E:8B56 04      mov     edx, dword ptr [esi+4]
004661AA    8BDD            mov     ebx, ebp
004661AC    81C3 50FB4100   add     ebx, 0041FB50
004661B2    0313            add     edx, dword ptr [ebx]
004661B4    3E:833A 00      cmp     dword ptr [edx], 0
004661B8    74 06           je      short 004661C0
004661BA    41              inc     ecx
004661BB    83C2 04         add     edx, 4
004661BE ^ EB F4           jmp     short 004661B4
004661C0    83C6 0C         add     esi, 0C
004661C3 ^ EB DA           jmp     short 0046619F                   ; 循环计算输入表的数量
004661C5    33D2            xor     edx, edx
004661C7    B8 05000000     mov     eax, 5
004661CC    F7E1            mul     ecx
004661CE    50              push    eax
004661CF    6A 00           push    0
004661D1    8BDD            mov     ebx, ebp
004661D3    81C3 F0FD4100   add     ebx, 0041FDF0
004661D9    FF13            call    dword ptr [ebx]                  ; GlobalAlloc
004661DB    0BC0            or      eax, eax
004661DD    75 05           jnz     short 004661E4
004661DF    83C4 04         add     esp, 4
004661E2    61              popad
004661E3    C3              retn
004661E4    3E:8907         mov     dword ptr [edi], eax
004661E7    3E:8947 04      mov     dword ptr [edi+4], eax
004661EB    5E              pop     esi
004661EC    5B              pop     ebx
004661ED    3E:837E 04 00   cmp     dword ptr [esi+4], 0             ; esi+4保存FirstThunk
004661F2    0F84 8A010000   je      00466382                         ; 输入表处理完跳转
004661F8    3E:8B1E         mov     ebx, dword ptr [esi]             ; esi=00466608取NameRVA
004661FB    8BD5            mov     edx, ebp
004661FD    81C2 50FB4100   add     edx, 0041FB50
00466203    031A            add     ebx, dword ptr [edx]
00466205    8BC3            mov     eax, ebx
00466207    E8 0C000000     call    00466218                         ; 解码DLL名
0046620C    8BD5            mov     edx, ebp
0046620E    81C2 7CF74100   add     edx, 0041F77C
00466214    8D02            lea     eax, dword ptr [edx]
00466216    50              push    eax
00466217    C3              retn
00466218    56              push    esi
00466219    57              push    edi
0046621A    8BF0            mov     esi, eax
0046621C    8BF8            mov     edi, eax
0046621E    AC              lods    byte ptr [esi]
0046621F    C0C8 04         ror     al, 4
00466222    AA              stos    byte ptr es:[edi]
00466223    3E:803F 00      cmp     byte ptr [edi], 0
00466227 ^ 75 F5           jnz     short 0046621E
00466229    5F              pop     edi
0046622A    5E              pop     esi
0046622B    C3              retn
0046622C    53              push    ebx                              ; ebx=kernel32.dll
0046622D    8BD5            mov     edx, ebp
0046622F    81C2 7CFD4100   add     edx, 0041FD7C
00466235    FF12            call    dword ptr [edx]                  ; LoadLibraryA
00466237    85C0            test    eax, eax
00466239    0F84 46010000   je      00466385
0046623F    52              push    edx
00466240    50              push    eax
00466241    8BD5            mov     edx, ebp
00466243    81C2 D0FC4100   add     edx, 0041FCD0
00466249    F702 04000000   test    dword ptr [edx], 4
0046624F    74 12           je      short 00466263
00466251    8BD5            mov     edx, ebp
00466253    81C2 B3F74100   add     edx, 0041F7B3
00466259    8D02            lea     eax, dword ptr [edx]
0046625B    50              push    eax
0046625C    8BC3            mov     eax, ebx
0046625E    E9 15030000     jmp     00466578                         ; 跳去对dll名清零
00466263    5B              pop     ebx
00466264    5A              pop     edx
00466265    3E:8B4E 08      mov     ecx, dword ptr [esi+8]           ; [esi+8]处保存的是OriginaFirstThunk
00466269    0BC9            or      ecx, ecx
0046626B    75 04           jnz     short 00466271
0046626D    3E:8B4E 04      mov     ecx, dword ptr [esi+4]
00466271    53              push    ebx
00466272    8BDD            mov     ebx, ebp
00466274    81C3 50FB4100   add     ebx, 0041FB50
0046627A    030B            add     ecx, dword ptr [ebx]
0046627C    3E:8B56 04      mov     edx, dword ptr [esi+4]
00466280    0313            add     edx, dword ptr [ebx]
00466282    5B              pop     ebx
00466283    3E:8339 00      cmp     dword ptr [ecx], 0
00466287    0F84 ED000000   je      0046637A
0046628D    F701 00000080   test    dword ptr [ecx], 80000000
00466293    75 5C           jnz     short 004662F1
00466295    8B01            mov     eax, dword ptr [ecx]
00466297    83C0 02         add     eax, 2
0046629A    53              push    ebx
0046629B    8BDD            mov     ebx, ebp
0046629D    81C3 50FB4100   add     ebx, 0041FB50
004662A3    0303            add     eax, dword ptr [ebx]
004662A5    5B              pop     ebx
004662A6    50              push    eax
004662A7    E8 6CFFFFFF     call    00466218                         ; 解码出函数名
004662AC    58              pop     eax
004662AD    8BF8            mov     edi, eax
004662AF    52              push    edx
004662B0    51              push    ecx
004662B1    50              push    eax
004662B2    53              push    ebx
004662B3    8BD5            mov     edx, ebp
004662B5    81C2 80FD4100   add     edx, 0041FD80
004662BB    FF12            call    dword ptr [edx]                  ; GetProcessAddress
004662BD    0BC0            or      eax, eax
004662BF    75 07           jnz     short 004662C8
004662C1    59              pop     ecx
004662C2    5A              pop     edx
004662C3    E9 BD000000     jmp     00466385
004662C8    59              pop     ecx
004662C9    5A              pop     edx
004662CA    52              push    edx
004662CB    60              pushad
004662CC    8BD5            mov     edx, ebp
004662CE    81C2 D0FC4100   add     edx, 0041FCD0
004662D4    F602 04         test    byte ptr [edx], 4
004662D7    74 12           je      short 004662EB
004662D9    8BD5            mov     edx, ebp
004662DB    81C2 3BF84100   add     edx, 0041F83B
004662E1    8D02            lea     eax, dword ptr [edx]
004662E3    50              push    eax
004662E4    8BC7            mov     eax, edi
004662E6    E9 8D020000     jmp     00466578                         ; 跳去对函数名清零
004662EB    61              popad
004662EC    5A              pop     edx
004662ED    90              nop                                      ; 修改②： NOP掉 mov dword ptr ds:[edx],eax
004662EE    90              nop                                      ; 用GetProcAddress得到的系统函数地址填充IAT
004662EF    EB 1D           jmp     short 0046630E
004662F1    52              push    edx
004662F2    51              push    ecx
004662F3    8B01            mov     eax, dword ptr [ecx]
004662F5    2D 00000080     sub     eax, 80000000
004662FA    50              push    eax
004662FB    53              push    ebx
004662FC    8BD5            mov     edx, ebp
004662FE    81C2 80FD4100   add     edx, 0041FD80
00466304    FF12            call    dword ptr [edx]
00466306    85C0            test    eax, eax
00466308    74 7B           je      short 00466385
0046630A    59              pop     ecx
0046630B    5A              pop     edx
0046630C    8902            mov     dword ptr [edx], eax
0046630E    51              push    ecx
0046630F    8BCD            mov     ecx, ebp
00466311    81C1 D0FC4100   add     ecx, 0041FCD0
00466317    F701 20000000   test    dword ptr [ecx], 20
0046631D    74 4F           je      short 0046636E
0046631F    8BCD            mov     ecx, ebp
00466321    81C1 D8FC4100   add     ecx, 0041FCD8
00466327    8339 00         cmp     dword ptr [ecx], 0
0046632A    74 14           je      short 00466340
0046632C    81FB 00000070   cmp     ebx, 70000000
00466332    72 08           jb      short 0046633C
00466334    81FB FFFFFF77   cmp     ebx, 77FFFFFF
0046633A    76 0E           jbe     short 0046634A
0046633C    EB 30           jmp     short 0046636E
0046633E    EB 0A           jmp     short 0046634A
00466340    81FB 00000080   cmp     ebx, 80000000
00466346    73 02           jnb     short 0046634A
00466348    EB 24           jmp     short 0046636E
0046634A    57              push    edi
0046634B    56              push    esi
0046634C    8BCD            mov     ecx, ebp
0046634E    81C1 74FF4100   add     ecx, 0041FF74
00466354    8D39            lea     edi, dword ptr [ecx]
00466356    3E:8B77 04      mov     esi, dword ptr [edi+4]
0046635A    90              nop                                      ; 修改③：NOP掉 ★ 填充加密地址mov dword ptr ds:[edx],esi
0046635B    90              nop
0046635C    2BC6            sub     eax, esi
0046635E    83E8 05         sub     eax, 5
00466361    C606 E9         mov     byte ptr [esi], 0E9
00466364    8946 01         mov     dword ptr [esi+1], eax
00466367    3E:8347 04 05   add     dword ptr [edi+4], 5
0046636C    5E              pop     esi
0046636D    5F              pop     edi
0046636E    59              pop     ecx
0046636F    83C1 04         add     ecx, 4
00466372    83C2 04         add     edx, 4
00466375 ^ E9 09FFFFFF     jmp     00466283
0046637A    83C6 0C         add     esi, 0C
0046637D ^ E9 6BFEFFFF     jmp     004661ED
00466382    33C0            xor     eax, eax
00466384    40              inc     eax
00466385    83F8 01         cmp     eax, 1
00466388    74 02           je      short 0046638C
0046638A    61              popad
0046638B    C3              retn
0046638C    8BD5            mov     edx, ebp
0046638E    81C2 D0FC4100   add     edx, 0041FCD0
00466394    F702 02000000   test    dword ptr [edx], 2
0046639A    74 18           je      short 004663B4
0046639C    8BD5            mov     edx, ebp
0046639E    81C2 50FB4100   add     edx, 0041FB50
004663A4    8B3A            mov     edi, dword ptr [edx]
004663A6    037F 3C         add     edi, dword ptr [edi+3C]
004663A9    8B32            mov     esi, dword ptr [edx]
004663AB    8B4F 54         mov     ecx, dword ptr [edi+54]
004663AE    90              nop
004663AF    90              nop                                      ; 修改：NOP掉 ★ 对使用过的DLL名和函数名清0
004663B0    90              nop
004663B1    46              inc     esi
004663B2 ^ E2 FA           loopd   short 004663AE
校验计算
004663B4    8BD5            mov     edx, ebp
004663B6    81C2 B6E54100   add     edx, 0041E5B6
004663BC    8D02            lea     eax, dword ptr [edx]
004663BE    B9 77F94100     mov     ecx, 0041F977
004663C3    81E9 B6E54100   sub     ecx, 0041E5B6
004663C9    EB 02           jmp     short 004663CD
004663CB    CD 09           int     9
004663CD    51              push    ecx                              ; ecx=131c计算壳EP处长度13c1的校验值
004663CE    50              push    eax
004663CF    E8 C2F4FFFF     call    00465896                         ; 校验计算
004663D4    83C4 08         add     esp, 8
004663D7    EB 02           jmp     short 004663DB
004663D9    CD 0C           int     0C
004663DB    8BD5            mov     edx, ebp
004663DD    81C2 D4FC4100   add     edx, 0041FCD4
004663E3    8B1A            mov     ebx, dword ptr [edx]
004663E5    33C3            xor     eax, ebx
004663E7    74 08           je      short 004663F1                   ; 修改标志z=1使其跳转否则over
004663E9    EB 01           jmp     short 004663EC
004663EB    CC              int3
004663EC    61              popad
004663ED    EB 01           jmp     short 004663F0
004663EF    CC              int3
004663F0    C3              retn
004663F1    8BD5            mov     edx, ebp                         ; 解码00466428处运行的代码
004663F3    81C2 77F94100   add     edx, 0041F977
004663F9    8D3A            lea     edi, dword ptr [edx]
004663FB    8BF7            mov     esi, edi
004663FD    8D3A            lea     edi, dword ptr [edx]
004663FF    B9 C3FA4100     mov     ecx, 0041FAC3
00466404    81E9 77F94100   sub     ecx, 0041F977
0046640A    33C0            xor     eax, eax
0046640C    AC              lods    byte ptr [esi]
0046640D    34 79           xor     al, 79
0046640F    2AC1            sub     al, cl
00466411    C0C0 02         rol     al, 2
00466414    AA              stos    byte ptr es:[edi]
00466415 ^ E2 F5           loopd   short 0046640C                   ; 循环解码
00466417    8BD5            mov     edx, ebp
00466419    81C2 77F94100   add     edx, 0041F977
0046641F    8D02            lea     eax, dword ptr [edx]
00466421    50              push    eax
00466422    C3              retn
00466423    90              nop
00466424    EB 01           jmp     short 00466427
00466426    C2 8BD5         retn    0D58B

============================================
//对dll名清零的一段代码
0046657A    3E:C600 00      mov     byte ptr [eax], 0         ; 对dll名清零
0046657E    40              inc     eax
0046657F    3E:8038 00      cmp     byte ptr [eax], 0
00466583 ^ 75 F5           jnz     short 0046657A
00466585    C3              retn
==========================================

00466429    81C2 30FE4100   add     edx, 0041FE30                    ; 开始清扫战场：引用fly的话
0046642F    8D02            lea     eax, dword ptr [edx]
00466431    50              push    eax
00466432    8BD5            mov     edx, ebp
00466434    81C2 91FD4100   add     edx, 0041FD91
0046643A    FF32            push    dword ptr [edx]
0046643C    8BD5            mov     edx, ebp
0046643E    81C2 80FD4100   add     edx, 0041FD80
00466444    FF12            call    dword ptr [edx]  ；isdebugpresent
00466446    0BC0            or      eax, eax
00466448    74 08           je      short 00466452
0046644A    FFD0            call    eax
0046644C    0BC0            or      eax, eax
0046644E    74 02           je      short 00466452
00466450    61              popad
00466451    C3              retn
00466452    8BD5            mov     edx, ebp
00466454    81C2 D0FC4100   add     edx, 0041FCD0
0046645A    F702 01000000   test    dword ptr [edx], 1
00466460    0F84 8A000000   je      004664F0
00466466    8BD5            mov     edx, ebp
00466468    81C2 3DFF4100   add     edx, 0041FF3D
0046646E    8D3A            lea     edi, dword ptr [edx]
00466470    6A 00           push    0
00466472    68 80000000     push    80
00466477    6A 03           push    3
00466479    6A 00           push    0
0046647B    6A 03           push    3
0046647D    68 000000C0     push    C0000000
00466482    57              push    edi
00466483    8BD5            mov     edx, ebp
00466485    81C2 E0FD4100   add     edx, 0041FDE0
0046648B    FF12            call    dword ptr [edx]  ；CreateFileA检查softice
0046648D    83F8 FF         cmp     eax, -1
00466490    74 19           je      short 004664AB
00466492    8BF8            mov     edi, eax
00466494    57              push    edi
00466495    8BD5            mov     edx, ebp
00466497    81C2 2CFE4100   add     edx, 0041FE2C
0046649D    FF12            call    dword ptr [edx]
0046649F    6A 00           push    0
004664A1    8BD5            mov     edx, ebp
004664A3    81C2 F3FE4100   add     edx, 0041FEF3
004664A9    FF12            call    dword ptr [edx]
004664AB    8BD5            mov     edx, ebp
004664AD    81C2 46FF4100   add     edx, 0041FF46
004664B3    8D3A            lea     edi, dword ptr [edx]
004664B5    6A 00           push    0
004664B7    68 80000000     push    80
004664BC    6A 03           push    3
004664BE    6A 00           push    0
004664C0    6A 03           push    3
004664C2    68 000000C0     push    C0000000
004664C7    57              push    edi
004664C8    8BD5            mov     edx, ebp
004664CA    81C2 E0FD4100   add     edx, 0041FDE0
004664D0    FF12            call    dword ptr [edx]  ；；CreateFileA检查softice
004664D2    83F8 FF         cmp     eax, -1
004664D5    74 19           je      short 004664F0
004664D7    8BF8            mov     edi, eax
004664D9    57              push    edi
004664DA    8BD5            mov     edx, ebp
004664DC    81C2 2CFE4100   add     edx, 0041FE2C
004664E2    FF12            call    dword ptr [edx]
004664E4    6A 00           push    0
004664E6    8BD5            mov     edx, ebp
004664E8    81C2 F3FE4100   add     edx, 0041FEF3
004664EE    FF12            call    dword ptr [edx]
004664F0    8BD5            mov     edx, ebp
004664F2    81C2 84FA4100   add     edx, 0041FA84
004664F8    8D02            lea     eax, dword ptr [edx]
004664FA    50              push    eax
004664FB    C3              retn

·····对一些地址处进行清零操作

00466534    32C0            xor     al, al
00466536    8BD5            mov     edx, ebp
00466538    81C2 B6E54100   add     edx, 0041E5B6
0046653E    8D3A            lea     edi, dword ptr [edx]
00466540    B9 4CFA4100     mov     ecx, 0041FA4C
00466545    81E9 B6E54100   sub     ecx, 0041E5B6
0046654B    AA              stos    byte ptr es:[edi]                ; 清扫战场
0046654C ^ E2 FD           loopd   short 0046654B
0046654E    8BD5            mov     edx, ebp
00466550    81C2 C3FA4100   add     edx, 0041FAC3
00466556    8D3A            lea     edi, dword ptr [edx]
00466558    B9 50FF4100     mov     ecx, 0041FF50
0046655D    81E9 C3FA4100   sub     ecx, 0041FAC3
00466563    AA              stos    byte ptr es:[edi]                ; 清扫战场
00466564 ^ E2 FD           loopd   short 00466563
00466566    61              popad

00466567    50              push    eax
00466568    33C0            xor     eax, eax
0046656A    64:FF30         push    dword ptr fs:[eax]
0046656D    64:8920         mov     dword ptr fs:[eax], esp
00466570    EB 01           jmp     short 00466573  ；异常
00466572    CC              int3
===============
0012EBB4   0012EC64 指向下一个 SEH 记录的指针
0012EBB8   004664FC SE处理程序
==========================

在004664FC处下断，shift+F9运行
断在这
004664FC    55              push    ebp
004664FD    8BEC            mov     ebp, esp
004664FF    57              push    edi
00466500    36:8B45 10      mov     eax, dword ptr [ebp+10]
00466504    3E:8BB8 C400000>mov     edi, dword ptr [eax+C4]
0046650B    3E:FF37         push    dword ptr [edi]
0046650E    33FF            xor     edi, edi
00466510    64:8F07         pop     dword ptr fs:[edi]
00466513    3E:8380 C400000>add     dword ptr [eax+C4], 8
0046651B    3E:8BB8 A400000>mov     edi, dword ptr [eax+A4]
00466522    C1C7 07         rol     edi, 7
00466525    3E:89B8 B800000>mov     dword ptr [eax+B8], edi          ; 此处是显示oep=[eax+B8]=004233de
0046652C    B8 00000000     mov     eax, 0
00466531    5F              pop     edi
00466532    C9              leave

直接在004233de处下断，shift+F9运行
到达OEP，到达OEP处发现还是一层壳，是PEcompact的壳，很容易就脱掉。。。
004233DE    B8 D0474600     mov     eax, 004647D0  ；PEcompact的壳
004233E3    50              push    eax
004233E4    64:FF35 0000000>push    dword ptr fs:[0]
004233EB    64:8925 0000000>mov     dword ptr fs:[0], esp
004233F2    33C0            xor     eax, eax
004233F4    8908            mov     dword ptr [eax], ecx
004233F6    50              push    eax
004233F7    45              inc     ebp
004233F8    43              inc     ebx
004233F9    6F              outs    dx, dword ptr es:[edi]
004233FA    6D              ins     dword ptr es:[edi], dx
004233FB    70 61           jo      short 0042345E
004233FD    637432 00       arpl    word ptr [edx+esi], si
00423401    39EB            cmp     ebx, ebp

脱掉后是这样。。
一看就是MFC程序，直接用OD插件脱下来
004233DE    55              push    ebp
004233DF    8BEC            mov     ebp, esp
004233E1    6A FF           push    -1
004233E3    68 88B04200     push    0042B088
004233E8    68 42354200     push    00423542                         ; jmp 到 msvcrt._except_handler3
004233ED    64:A1 00000000 mov     eax, dword ptr fs:[0]
004233F3    50              push    eax
004233F4    64:8925 0000000>mov     dword ptr fs:[0], esp
004233FB    83EC 68         sub     esp, 68
004233FE    53              push    ebx
004233FF    56              push    esi
00423400    57              push    edi
00423401    8965 E8         mov     dword ptr [ebp-18], esp
00423404    33DB            xor     ebx, ebx
00423406    895D FC         mov     dword ptr [ebp-4], ebx
00423409    6A 02           push    2
0042340B    FF15 80554200   call    dword ptr [425580]               ; msvcrt.__set_app_type
00423411    59              pop     ecx
00423412    830D 68684500 F>or      dword ptr [456868], FFFFFFFF
00423419    830D 6C684500 F>or      dword ptr [45686C], FFFFFFFF
00423420    FF15 84554200   call    dword ptr [425584]               ; msvcrt.__p__fmode

再用importREC修复输入表，有些必须进行手动修复，否则程序没法运行。。。

通过跟踪发现IAT地址从00425090到0042514c的输入函数是这样被调用的。在dump出来的程序运行是没有这一段代码的，
00A20000    B8 82FE807C     mov     eax, kernel32.GlobalUnlock
00A20005    FFE0            jmp     eax
00A20007    B8 19FF807C     mov     eax, kernel32.GlobalLock
00A2000C    FFE0            jmp     eax
00A2000E    B8 2DFD807C     mov     eax, kernel32.GlobalAlloc
00A20013    FFE0            jmp     eax
00A20015    B8 CFB4807C     mov     eax, kernel32.GetModuleFileNameA
00A2001A    FFE0            jmp     eax
00A2001C    B8 1599807C     mov     eax, kernel32.GetACP
00A20021    FFE0            jmp     eax
00A20023    B8 4224807C     mov     eax, kernel32.Sleep
00A20028    FFE0            jmp     eax
00A2002A    B8 DA11817C     mov     eax, kernel32.GetVersion
00A2002F    FFE0            jmp     eax
00A20031    B8 25043A00     mov     eax, 3A0425
00A20036    FFE0            jmp     eax
00A20038    B8 3103937C     mov     eax, ntdll.RtlGetLastWin32Error
00A2003D    FFE0            jmp     eax
00A2003F    B8 AD08837C     mov     eax, kernel32.CreateEventA
00A20044    FFE0            jmp     eax
00A20046    B8 161E807C     mov     eax, kernel32.TerminateProcess
00A2004B    FFE0            jmp     eax
00A2004D    B8 2025807C     mov     eax, kernel32.WaitForSingleObjec>
00A20052    FFE0            jmp     eax
00A20054    B8 479B807C     mov     eax, kernel32.CloseHandle
00A20059    FFE0            jmp     eax
00A2005B    B8 F728837C     mov     eax, kernel32.ResumeThread
00A20060    FFE0            jmp     eax
00A20062    B8 F19E807C     mov     eax, kernel32.InitializeCritical>
00A20067    FFE0            jmp     eax
00A20069    B8 6D13867C     mov     eax, kernel32.WinExec
00A2006E    FFE0            jmp     eax
00A20070    B8 3BA0807C     mov     eax, kernel32.ResetEvent
00A20075    FFE0            jmp     eax
00A20077    B8 2516807C     mov     eax, kernel32.DeviceIoControl
00A2007C    FFE0            jmp     eax
00A2007E    B8 241A807C     mov     eax, kernel32.CreateFileA
00A20083    FFE0            jmp     eax
00A20085    B8 DE2A817C     mov     eax, kernel32.GetVersionExA
00A2008A    FFE0            jmp     eax
00A2008C    B8 A1B6807C     mov     eax, kernel32.GetModuleHandleA
00A20091    FFE0            jmp     eax
00A20093    B8 ED10927C     mov     eax, ntdll.RtlLeaveCriticalSecti>
00A20098    FFE0            jmp     eax
00A2009A    B8 0510927C     mov     eax, ntdll.RtlEnterCriticalSecti>
00A2009F    FFE0            jmp     eax
00A200A1    B8 8A18937C     mov     eax, ntdll.RtlDeleteCriticalSect>
00A200A6    FFE0            jmp     eax
00A200A8    B8 17A0807C     mov     eax, kernel32.SetEvent
00A200AD    FFE0            jmp     eax
00A200AF    B8 A51B827C     mov     eax, kernel32.GetVolumeInformati>
00A200B4    FFE0            jmp     eax
00A200B6    B8 6313827C     mov     eax, kernel32.GetWindowsDirector>
00A200BB    FFE0            jmp     eax
00A200BD    B8 CA5D837C     mov     eax, kernel32.GetTempPathA
00A200C2    FFE0            jmp     eax
00A200C4    B8 D7ED807C     mov     eax, kernel32.FindClose
00A200C9    FFE0            jmp     eax
00A200CB    B8 B14E837C     mov     eax, kernel32.FindNextFileA
00A200D0    FFE0            jmp     eax
00A200D2    B8 D937817C     mov     eax, kernel32.FindFirstFileA
00A200D7    FFE0            jmp     eax
00A200D9    B8 6FD3827C     mov     eax, kernel32.GetSystemTimeAdjus>
00A200DE    FFE0            jmp     eax
00A200E0    B8 6B17807C     mov     eax, kernel32.GetSystemTime
00A200E5    FFE0            jmp     eax
00A200E7    B8 D952837C     mov     eax, kernel32.GetProcessTimes
00A200EC    FFE0            jmp     eax
00A200EE    B8 F5DD807C     mov     eax, kernel32.GetCurrentProcess
00A200F3    FFE0            jmp     eax
00A200F5    B8 642C867C     mov     eax, kernel32.GetThreadTimes
00A200FA    FFE0            jmp     eax
00A200FC    B8 EB98807C     mov     eax, kernel32.GetCurrentThread
00A20101    FFE0            jmp     eax
00A20103    B8 F210837C     mov     eax, kernel32.GlobalMemoryStatus
00A20108    FFE0            jmp     eax
00A2010A    B8 0E18807C     mov     eax, kernel32.ReadFile
00A2010F    FFE0            jmp     eax
00A20111    B8 F24A817C     mov     eax, kernel32.GetEnvironmentVari>
00A20116    FFE0            jmp     eax
00A20118    B8 870D817C     mov     eax, kernel32.WriteFile
00A2011D    FFE0            jmp     eax
00A2011F    B8 EE1E807C     mov     eax, kernel32.GetStartupInfoA
00A20124    FFE0            jmp     eax
00A20126    B8 89BE807C     mov     eax, kernel32.FindResourceA
00A2012B    FFE0            jmp     eax
00A2012D    B8 B59F807C     mov     eax, kernel32.LoadResource
00A20132    FFE0            jmp     eax
00A20134    B8 97CC807C     mov     eax, kernel32.SetHandleCount
00A20139    FFE0            jmp     eax
00A2013B    B8 BABB817C     mov     eax, kernel32.SetThreadLocale
00A20140    FFE0            jmp     eax
00A20142    B8 69BC807C     mov     eax, kernel32.SizeofResource
00A20147    FFE0            jmp     eax

所以程序是没法运行的，手动把00425090到0042514c处改为函数的真正地址。。。
修改前是这样的。。。
00425090 00 00 A2 00 07 00 A2 00 0E 00 A2 00 15 00 A2 00
004250A0 1C 00 A2 00 23 00 A2 00 2A 00 A2 00 31 00 A2 00
004250B0 38 00 A2 00 3F 00 A2 00 46 00 A2 00 4D 00 A2 00
004250C0 54 00 A2 00 5B 00 A2 00 62 00 A2 00 69 00 A2 00
004250D0 70 00 A2 00 77 00 A2 00 7E 00 A2 00 85 00 A2 00
004250E0 8C 00 A2 00 93 00 A2 00 9A 00 A2 00 A1 00 A2 00
004250F0 A8 00 A2 00 AF 00 A2 00 B6 00 A2 00 BD 00 A2 00
00425100 C4 00 A2 00 CB 00 A2 00 D2 00 A2 00 D9 00 A2 00
00425110 E0 00 A2 00 E7 00 A2 00 EE 00 A2 00 F5 00 A2 00
00425120 FC 00 A2 00 03 01 A2 00 0A 01 A2 00 11 01 A2 00
00425130 18 01 A2 00 1F 01 A2 00 26 01 A2 00 2D 01 A2 00

修改后

00425090 82 FE 80 7C 19 FF 80 7C 2D FD 80 7C CF B4 80 7C
004250A0 15 99 80 7C 42 24 80 7C DA 11 81 7C 25 E4 49 00
004250B0 31 03 93 7C AD 08 83 7C 16 1E 80 7C 20 25 80 7C
004250C0 47 9B 80 7C F7 28 83 7C F1 9E 80 7C 6D 13 86 7C
004250D0 3B A0 80 7C 25 16 80 7C 24 1A 80 7C DE 2A 81 7C
004250E0 A1 B6 80 7C ED 10 92 7C 05 10 92 7C 8A 18 93 7C
004250F0 17 A0 80 7C A5 1B 82 7C 63 13 82 7C CA 5D 83 7C
00425100 D7 ED 80 7C B1 4E 83 7C D9 37 81 7C 6F D3 82 7C
00425110 6B 17 80 7C D9 52 83 7C F5 DD 80 7C 64 2C 86 7C
00425120 EB 98 80 7C F2 10 83 7C 0E 18 80 7C F2 4A 81 7C
00425130 87 0D 81 7C EE 1E 80 7C 89 BE 80 7C B5 9F 80 7C
00425140 97 CC 80 7C BA BB 81 7C 69 BC 80 7C 00 00 00 00

其中在004250AC处的地址是调用一段代码，这段代码在dump出来的程序中是没有的，
所以要在没脱壳的程序中将这段代码复制出来到到已脱壳的程序中，这样程序就可以运行了，脱壳也就结束了。。。。

参考文章：FLY的yoda's Protector V1.03.2.02脱壳——yP.exe全过程分析

你可能感兴趣的:(c,加密,dll,mfc,byte,2010)

机器学习与深度学习间关系与区别 ℒℴѵℯ心·动ꦿ໊ོ꫞ 人工智能学习深度学习 python
一、机器学习概述定义机器学习（MachineLearning,ML）是一种通过数据驱动的方法，利用统计学和计算算法来训练模型，使计算机能够从数据中学习并自动进行预测或决策。机器学习通过分析大量数据样本，识别其中的模式和规律，从而对新的数据进行判断。其核心在于通过训练过程，让模型不断优化和提升其预测准确性。主要类型1.监督学习（SupervisedLearning）监督学习是指在训练数据集中包含输入
android系统selinux中添加新属性property 辉色投像
1.定位/android/system/sepolicy/private/property_contexts声明属性开头：persist.charge声明属性类型：u:object_r:system_prop:s0图12.定位到android/system/sepolicy/public/domain.te删除neverallow{domain-init}default_prop:property
【iOS】MVC设计模式 Magnetic_h ios mvc 设计模式 objective-c 学习 ui
MVC前言如何设计一个程序的结构，这是一门专门的学问，叫做"架构模式"（architecturalpattern），属于编程的方法论。MVC模式就是架构模式的一种。它是Apple官方推荐的App开发架构，也是一般开发者最先遇到、最经典的架构。MVC各层controller层Controller/ViewController/VC（控制器）负责协调Model和View，处理大部分逻辑它将数据从Mod
OC语言多界面传值五大方式 Magnetic_h ios ui 学习 objective-c 开发语言
前言在完成暑假仿写项目时，遇到了许多需要用到多界面传值的地方，这篇博客来总结一下比较常用的五种多界面传值的方式。属性传值属性传值一般用前一个界面向后一个界面传值，简单地说就是通过访问后一个视图控制器的属性来为它赋值，通过这个属性来做到从前一个界面向后一个界面传值。首先在后一个界面中定义属性@interfaceBViewController:UIViewController@propertyNSSt
UI学习——cell的复用和自定义cell Magnetic_h ui 学习
目录cell的复用手动（非注册）自动（注册）自定义cellcell的复用在iOS开发中，单元格复用是一种提高表格（UITableView）和集合视图（UICollectionView）滚动性能的技术。当一个UITableViewCell或UICollectionViewCell首次需要显示时，如果没有可复用的单元格，则视图会创建一个新的单元格。一旦这个单元格滚动出屏幕，它就不会被销毁。相反，它被添
element实现动态路由+面包屑软件技术NINI vue案例 vue.js 前端
el-breadcrumb是ElementUI组件库中的一个面包屑导航组件，它用于显示当前页面的路径，帮助用户快速理解和导航到应用的各个部分。在Vue.js项目中，如果你已经安装了ElementUI，就可以很方便地使用el-breadcrumb组件。以下是一个基本的使用示例：安装ElementUI（如果你还没有安装的话）:你可以通过npm或yarn来安装ElementUI。bash复制代码npmi
C语言宏函数南林yan C语言 c语言
一、什么是宏函数？通过宏定义的函数是宏函数。如下，编译器在预处理阶段会将Add(x,y)替换为((x)*(y))#defineAdd(x,y)((x)*(y))#defineAdd(x,y)((x)*(y))intmain(){inta=10;intb=20;intd=10;intc=Add(a+d,b)*2;cout<
C语言如何定义宏函数？小九格物 c语言
在C语言中，宏函数是通过预处理器定义的，它在编译之前替换代码中的宏调用。宏函数可以模拟函数的行为，但它们不是真正的函数，因为它们在编译时不会进行类型检查，也不会分配存储空间。宏函数的定义通常使用#define指令，后面跟着宏的名称和参数列表，以及宏展开后的代码。宏函数的定义方式：1.基本宏函数：这是最简单的宏函数形式，它直接定义一个表达式。#defineSQUARE(x)((x)*(x))2.带参
理解Gunicorn：Python WSGI服务器的基石范范0825 ipython linux 运维
理解Gunicorn：PythonWSGI服务器的基石介绍Gunicorn，全称GreenUnicorn，是一个为PythonWSGI（WebServerGatewayInterface）应用设计的高效、轻量级HTTP服务器。作为PythonWeb应用部署的常用工具，Gunicorn以其高性能和易用性著称。本文将介绍Gunicorn的基本概念、安装和配置，帮助初学者快速上手。1.什么是Gunico
Cell Insight | 单细胞测序技术又一新发现，可用于HIV-1和Mtb共感染个体诊断尐尐呅
结核病是艾滋病合并其他疾病中导致患者死亡的主要原因。其中结核病由结核分枝杆菌（Mycobacteriumtuberculosis,Mtb）感染引起，获得性免疫缺陷综合症（艾滋病）由人免疫缺陷病毒（Humanimmunodeficiencyvirustype1,HIV-1）感染引起。国家感染性疾病临床医学研究中心/深圳市第三人民医院张国良团队携手深圳华大生命科学研究院吴靓团队，共同研究得出单细胞测序
c++ 的iostream 和 c++的stdio的区别和联系黄卷青灯77 c++算法开发语言 iostream stdio
在C++中，iostream和C语言的stdio.h都是用于处理输入输出的库，但它们在设计、用法和功能上有许多不同。以下是两者的区别和联系：区别1.编程风格iostream（C++风格）：C++标准库中的输入输出流类库，支持面向对象的输入输出操作。典型用法是cin（输入）和cout（输出），使用>操作符来处理数据。更加类型安全，支持用户自定义类型的输入输出。#includeintmain(){in
Long类型前后端数据不一致 igotyback 前端
响应给前端的数据浏览器控制台中response中看到的Long类型的数据是正常的到前端数据不一致前后端数据类型不匹配是一个常见问题，尤其是当后端使用Java的Long类型（64位）与前端JavaScript的Number类型（最大安全整数为2^53-1，即16位）进行数据交互时，很容易出现精度丢失的问题。这是因为JavaScript中的Number类型无法安全地表示超过16位的整数。为了解决这个问
LocalDateTime 转 String igotyback java 开发语言
importjava.time.LocalDateTime;importjava.time.format.DateTimeFormatter;publicclassMain{publicstaticvoidmain(String[]args){//获取当前时间LocalDateTimenow=LocalDateTime.now();//定义日期格式化器DateTimeFormatterformat
swagger访问路径 igotyback swagger
Swagger2.x版本访问地址：http://{ip}:{port}/{context-path}/swagger-ui.html{ip}是你的服务器IP地址。{port}是你的应用服务端口，通常为8080。{context-path}是你的应用上下文路径，如果应用部署在根路径下，则为空。Swagger3.x版本对于Swagger3.x版本（也称为OpenAPI3）访问地址：http://{ip
mysql禁用远程登录 igotyback mysql
去mysql库中的user表里，将host都改成localhost之后刷新权限FLUSHPRIVILEGES;
Linux下QT开发的动态库界面弹出操作（SDL2） 13jjyao QT类 qt 开发语言 sdl2 linux
需求：操作系统为linux，开发框架为qt，做成需带界面的qt动态库，调用方为java等非qt程序难点：调用方为java等非qt程序，也就是说调用方肯定不带QApplication::exec()，缺少了这个，QTimer等事件和QT创建的窗口将不能弹出(包括opencv也是不能弹出)；这与qt调用本身qt库是有本质的区别的思路：1.调用方缺QApplication::exec()，那么我们在接口
店群合一模式下的社区团购新发展——结合链动 2+1 模式、AI 智能名片与 S2B2C 商城小程序源码说私域人工智能小程序
摘要：本文探讨了店群合一的社区团购平台在当今商业环境中的重要性和优势。通过分析店群合一模式如何将互联网社群与线下终端紧密结合，阐述了链动2+1模式、AI智能名片和S2B2C商城小程序源码在这一模式中的应用价值。这些创新元素的结合为社区团购带来了新的机遇，提升了用户信任感、拓展了营销渠道，并实现了线上线下的完美融合。一、引言随着互联网技术的不断发展，社区团购作为一种新兴的商业模式，在满足消费者日常需
html 中如何使用 uniapp 的部分方法某公司摸鱼前端 html uni-app 前端
示例代码：Documentconsole.log(window);效果展示：好了，现在就可以uni.使用相关的方法了
ArcGIS栅格计算器常见公式（赋值、0和空值的转换、补充栅格空值）研学随笔 arcgis 经验分享
我们在使用ArcGIS时通常经常用到栅格计算器，今天主要给大家介绍我日常中经常用到的几个公式，供大家参考学习。将特定值（-9999）赋值为0，例如-9999.Con("raster"==-9999,0,"raster")2.给空值赋予特定的值（如0）Con(IsNull("raster"),0,"raster")3.将特定的栅格值(如1)赋值为空值，其他保留原值SetNull("raster"==
高级编程--XML+socket练习题 masa010 java 开发语言
1.北京华北2114.8万人上海华东2,500万人广州华南1292.68万人成都华西1417万人（1）使用dom4j将信息存入xml中（2）读取信息，并打印控制台（3）添加一个city节点与子节点（4）使用socketTCP协议编写服务端与客户端，客户端输入城市ID，服务器响应相应城市信息（5）使用socketTCP协议编写服务端与客户端，客户端要求用户输入city对象，服务端接收并使用dom4j
水平垂直居中的几种方法（总结） LJ小番茄 CSS_玄学语言 html javascript 前端 css css3
1.使用flexbox的justify-content和align-items.parent{display:flex;justify-content:center;/*水平居中*/align-items:center;/*垂直居中*/height:100vh;/*需要指定高度*/}2.使用grid的place-items:center.parent{display:grid;place-item
回溯 Leetcode 332 重新安排行程 mmaerd Leetcode刷题学习记录 leetcode 算法职场和发展
重新安排行程Leetcode332学习记录自代码随想录给你一份航线列表tickets，其中tickets[i]=[fromi,toi]表示飞机出发和降落的机场地点。请你对该行程进行重新规划排序。所有这些机票都属于一个从JFK（肯尼迪国际机场）出发的先生，所以该行程必须从JFK开始。如果存在多种有效的行程，请你按字典排序返回最小的行程组合。例如，行程[“JFK”,“LGA”]与[“JFK”,“LGB
每日一题——第八十九题互联网打工人no1 C语言程序设计每日一练 c语言
题目：在字符串中找到提取数字，并统计一共找到多少整数，a123xxyu23&8889，那么找到的整数为123，23，8889//思想：#include#include#includeintmain(){charstr[]="a123xxyu23&8889";intcount=0;intnum=0;//用于临时存放当前正在构建的整数。boolinNum=false;//用于标记当前是否正在读取一个整
每日一题——第九十题互联网打工人no1 C语言程序设计每日一练 c语言
题目：判断子串是否与主串匹配#include#include#include//////判断子串是否在主串中匹配//////主串///子串///boolisSubstring(constchar*str,constchar*substr){intlenstr=strlen(str);//计算主串的长度intlenSub=strlen(substr);//计算子串的长度//遍历主字符串，对每个可能得
每日一题——第八十一题互联网打工人no1 C语言程序设计每日一练 c语言
打印如下图案:#includeintmain(){inti,j;charch='A';for(i=1;i<5;i++,ch++){for(j=0;j<5-i;j++){printf("");//控制空格输出}for(j=1;j<2*i;j++)//条件j<2*i{printf("%c",ch);//控制字符输出}printf("\n");}return0;}
每日一题——第八十四题互联网打工人no1 C语言程序设计每日一练 c语言
题目：编写函数1、输入10个职工的姓名和职工号2、按照职工由大到小顺序排列，姓名顺序也随之调整3、要求输入一个职工号，用折半查找法找出该职工的姓名#define_CRT_SECURE_NO_WARNINGS#include#include#defineMAX_EMPLOYEES10typedefstruct{intid;charname[50];}Empolyee;voidinputEmploye
每日一题——第八十二题互联网打工人no1 C语言程序设计每日一练 c语言
题目：将一个控制台输入的字符串中的所有元音字母复制到另一字符串中#include#include#include#include#defineMAX_INPUT1024boolisVowel(charp);intmain(){charinput[MAX_INPUT];charoutput[MAX_INPUT];printf("请输入一串字符串：\n");fgets(input,sizeof(inp
每日一题——第八十三题互联网打工人no1 C语言程序设计每日一练 c语言
题目：将输入的整形数字输出,输出1990，输出"1990"#include#defineMAX_INPUT1024intmain(){intarrr_num[MAX_INPUT];intnum,i=0;printf("请输入一个数字：");scanf_s("%d",&num);while(num!=0){arrr_num[i++]=num%10;num/=10;}printf("\"");for(
C#中使用split分割字符串互联网打工人no1 c#
1、用字符串分隔：usingSystem.Text.RegularExpressions;stringstr="aaajsbbbjsccc";string[]sArray=Regex.Split(str,"js",RegexOptions.IgnoreCase);foreach(stringiinsArray)Response.Write(i.ToString()+"");输出结果：aaabbbc
WPF中的ComboBox控件几种数据绑定的方式互联网打工人no1 wpf c#
一、用字典给ItemsSource赋值（此绑定用的地方很多，建议熟练掌握）在XMAL中：在CS文件中privatevoidBindData(){DictionarydicItem=newDictionary();dicItem.add(1,"北京");dicItem.add(2,"上海");dicItem.add(3,"广州");cmb_list.ItemsSource=dicItem;cmb_l
对股票分析时要注意哪些主要因素？会飞的奇葩猪股票分析云掌股吧
　　众所周知，对散户投资者来说，股票技术分析是应战股市的核心武器，想学好股票的技术分析一定要知道哪些是重点学习的，其实非常简单，我们只要记住三个要素：成交量、价格趋势、振荡指标。一、成交量　　大盘的成交量状态。成交量大说明市场的获利机会较多，成交量小说明市场的获利机会较少。当沪市的成交量超过150亿时是强市市场状态，运用技术找综合买点较准；
【Scala十八】视图界定与上下文界定 bit1129 scala
Context Bound，上下文界定，是Scala为隐式参数引入的一种语法糖，使得隐式转换的编码更加简洁。隐式参数首先引入一个泛型函数max，用于取a和b的最大值 def max[T](a: T, b: T) = { if (a > b) a else b } 因为T是未知类型，只有运行时才会代入真正的类型，因此调用a >
C语言的分支——Object-C程序设计阅读有感 darkblue086 apple c 框架 cocoa
自从1972年贝尔实验室Dennis Ritchie开发了C语言，C语言已经有了很多版本和实现，从Borland到microsoft还是GNU、Apple都提供了不同时代的多种选择，我们知道C语言是基于Thompson开发的B语言的，Object-C是以SmallTalk-80为基础的。和C++不同的是，Object C并不是C的超集，因为有很多特性与C是不同的。 Object-C程序设计这本书
去除浏览器对表单值的记忆周凡杨 html 记忆 autocomplete form 浏览
&n
java的树形通讯录 g21121 java
最近用到企业通讯录，虽然以前也开发过，但是用的是jsf，拼成的树形，及其笨重和难维护。后来就想到直接生成json格式字符串，页面上也好展现。 // 首先取出每个部门的联系人 for (int i = 0; i < depList.size(); i++) { List<Contacts> list = getContactList(depList.get(i
Nginx安装部署 510888780 nginx linux
Nginx ("engine x") 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 Nginx 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本0.1.0发布于2004年10月4日。其将源代码以类BSD许可证的形式发布，因它的稳定性、丰富的功能集、示例配置文件和低系统资源
java servelet异步处理请求墙头上一根草ｊａｖａ异步返回ｓｅｒｖｌｅｔ
servlet3.0以后支持异步处理请求，具体是使用AsyncContext ，包装httpservletRequest以及httpservletResponse具有异步的功能， final AsyncContext ac = request.startAsync(request, response); ac.s
我的spring学习笔记8-Spring中Bean的实例化 aijuans Spring 3
在Spring中要实例化一个Bean有几种方法： 1、最常用的（普通方法） <bean id="myBean" class="www.6e6.org.MyBean" /> 使用这样方法，按Spring就会使用Bean的默认构造方法，也就是把没有参数的构造方法来建立Bean实例。（有构造方法的下个文细说） 2、还
为Mysql创建最优的索引 annan211 mysql 索引
索引对于良好的性能非常关键，尤其是当数据规模越来越大的时候，索引的对性能的影响越发重要。索引经常会被误解甚至忽略，而且经常被糟糕的设计。索引优化应该是对查询性能优化最有效的手段了，索引能够轻易将查询性能提高几个数量级，最优的索引会比较好的索引性能要好2个数量级。 1 索引的类型 (1) B-Tree 不出意外，这里提到的索引都是指 B-
日期函数百合不是茶 oracle sql 日期函数查询
ORACLE日期时间函数大全 TO_DATE格式(以时间:2007-11-02 13:45:25为例) Year: yy two digits 两位年显示值:07 yyy three digits 三位年显示值:007
线程优先级 bijian1013 java thread 多线程 java多线程
多线程运行时需要定义线程运行的先后顺序。线程优先级是用数字表示，数字越大线程优先级越高，取值在1到10，默认优先级为5。实例： package com.bijian.study; /** * 因为在代码段当中把线程B的优先级设置高于线程A,所以运行结果先执行线程B的run()方法后再执行线程A的run()方法 * 但在实际中，JAVA的优先级不准，强烈不建议用此方法来控制执
适配器模式和代理模式的区别 bijian1013 java 设计模式
一.简介适配器模式：适配器模式（英语：adapter pattern）有时候也称包装样式或者包装。将一个类的接口转接成用户所期待的。一个适配使得因接口不兼容而不能在一起工作的类工作在一起，做法是将类别自己的接口包裹在一个已存在的类中。 &nbs
【持久化框架MyBatis3三】MyBatis3 SQL映射配置文件 bit1129 Mybatis3
SQL映射配置文件一方面类似于Hibernate的映射配置文件，通过定义实体与关系表的列之间的对应关系。另一方面使用<select>,<insert>,<delete>，<update>元素定义增删改查的SQL语句，这些元素包含三方面内容 1. 要执行的SQL语句 2. SQL语句的入参，比如查询条件 3. SQL语句的返回结果
oracle大数据表复制备份个人经验 bitcarter oracle 大表备份大表数据复制
前提：数据库仓库A（就拿oracle11g为例）中有两个用户user1和user2,现在有user1中有表ldm_table1,且表ldm_table1有数据5千万以上，ldm_table1中的数据是从其他库B（数据源）中抽取过来的，前期业务理解不够或者需求有变，数据有变动需要重新从B中抽取数据到A库表ldm_table1中。
HTTP加速器varnish安装小记 ronin47 http varnish 加速
上午共享的那个varnish安装手册，个人看了下，有点不知所云，好吧~看来还是先安装玩玩！苦逼公司服务器没法连外网，不能用什么wget或yum命令直接下载安装，每每看到别人博客贴出的在线安装代码时，总有一股羡慕嫉妒“恨”冒了出来。。。好吧，既然没法上外网，那只能麻烦点通过下载源码来编译安装了！ Varnish 3.0.4下载地址： http://repo.varnish-cache.org/
java-73-输入一个字符串，输出该字符串中对称的子字符串的最大长度 bylijinnan java
public class LongestSymmtricalLength { /* * Q75题目：输入一个字符串，输出该字符串中对称的子字符串的最大长度。 * 比如输入字符串“google”，由于该字符串里最长的对称子字符串是“goog”，因此输出4。 */ public static void main(String[] args) { Str
学习编程的一点感想 Cb123456 编程感想 Gis
写点感想，总结一些，也顺便激励一些自己.现在就是复习阶段，也做做项目. 本专业是GIS专业，当初觉得本专业太水，靠这个会活不下去的，所以就报了培训班。学习的时候，进入状态很慢，而且当初进去的时候，已经上到Java高级阶段了，所以.....，呵呵，之后有点感觉了，不过，还是不好好写代码，还眼高手低的，有
[能源与安全]美国与中国 comsci 能源
现在有一个局面：地球上的石油只剩下N桶，这些油只够让中国和美国这两个国家中的一个顺利过渡到宇宙时代，但是如果这两个国家为争夺这些石油而发生战争，其结果是两个国家都无法平稳过渡到宇宙时代。。。。而且在战争中，剩下的石油也会被快速消耗在战争中，结果是两败俱伤。。。在这个大
SEMI-JOIN执行计划突然变成HASH JOIN了的原因分析 cwqcwqmax9 oracle
甲说： A B两个表总数据量都很大，在百万以上。 idx1 idx2字段表示是索引字段 A B 两表上都有 col1字段表示普通字段 select xxx from A where A.idx1 between mmm and nnn and exists (select 1 from B where B.idx2 =
SpringMVC-ajax返回值乱码解决方案 dashuaifu Ajax springMVC response 中文乱码
SpringMVC-ajax返回值乱码解决方案一：（自己总结，测试过可行） ajax返回如果含有中文汉字，则使用：（如下例：） @RequestMapping(value="/xxx.do") public @ResponseBody void getPunishReasonB
Linux系统中查看日志的常用命令 dcj3sjt126com OS
因为在日常的工作中，出问题的时候查看日志是每个管理员的习惯，作为初学者，为了以后的需要，我今天将下面这些查看命令共享给各位 cat tail -f 日志文件说明 /var/log/message 系统启动后的信息和错误日志，是Red Hat Linux中最常用的日志之一 /var/log/secure 与安全相关的日志信息 /var/log/maillog 与邮件相关的日志信
[应用结构]应用 dcj3sjt126com PHP yii2
应用主体应用主体是管理 Yii 应用系统整体结构和生命周期的对象。每个Yii应用系统只能包含一个应用主体，应用主体在入口脚本中创建并能通过表达式 \Yii::$app 全局范围内访问。补充: 当我们说"一个应用"，它可能是一个应用主体对象，也可能是一个应用系统，是根据上下文来决定[译：中文为避免歧义，Application翻译为应
assertThat用法 eksliang JUnit assertThat
junit4.0 assertThat用法一般匹配符1、assertThat( testedNumber, allOf( greaterThan(8), lessThan(16) ) ); 注释： allOf匹配符表明如果接下来的所有条件必须都成立测试才通过，相当于“与”（&&） 2、assertThat( testedNumber, anyOf( g
android点滴2 gundumw100 应用服务器 android 网络应用 OS HTC
如何让Drawable绕着中心旋转？ Animation a = new RotateAnimation(0.0f, 360.0f, Animation.RELATIVE_TO_SELF, 0.5f, Animation.RELATIVE_TO_SELF,0.5f); a.setRepeatCount(-1); a.setDuration(1000); 如何控制Andro
超简洁的CSS下拉菜单 ini html Web 工作 html5 css
效果体验：http://hovertree.com/texiao/css/3.htmHTML文件： <!DOCTYPE html> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title>简洁的HTML+CSS下拉菜单-HoverTree</title>
kafka consumer防止数据丢失 kane_xie kafka offset commit
kafka最初是被LinkedIn设计用来处理log的分布式消息系统，因此它的着眼点不在数据的安全性（log偶尔丢几条无所谓），换句话说kafka并不能完全保证数据不丢失。尽管kafka官网声称能够保证at-least-once，但如果consumer进程数小于partition_num，这个结论不一定成立。考虑这样一个case，partiton_num=2
@Repository、@Service、@Controller 和 @Component mhtbbx DAO spring bean prototype
@Repository、@Service、@Controller 和 @Component 将类标识为Bean Spring 自 2.0 版本开始，陆续引入了一些注解用于简化 Spring 的开发。@Repository注解便属于最先引入的一批，它用于将数据访问层 (DAO 层 ) 的类标识为 Spring Bean。具体只需将该注解标注在 DAO类上即可。同时，为了让 Spring 能够扫描类
java 多线程高并发读写控制误区 qifeifei java thread
先看一下下面的错误代码，对写加了synchronized控制，保证了写的安全，但是问题在哪里呢？ public class testTh7 { private String data; public String read(){ System.out.println(Thread.currentThread().getName() + "read data "
mongodb replica set(副本集)设置步骤 tcrct java mongodb
网上已经有一大堆的设置步骤的了，根据我遇到的问题，整理一下，如下：首先先去下载一个mongodb最新版，目前最新版应该是2.6 cd /usr/local/bin wget http://fastdl.mongodb.org/linux/mongodb-linux-x86_64-2.6.0.tgz tar -zxvf mongodb-linux-x86_64-2.6.0.t
rust学习笔记 wudixiaotie 学习笔记
1.rust里绑定变量是let，默认绑定了的变量是不可更改的，所以如果想让变量可变就要加上mut。 let x = 1; let mut y = 2; 2.match 相当于erlang中的case，但是case的每一项后都是分号，但是rust的match却是逗号。 3.match 的每一项最后都要加逗号，但是最后一项不加也不会报错，所有结尾加逗号的用法都是类似。 4.每个语句结尾都要加分