Reversing Engenering

push 5h
push 6h
mov eax,dword ptr [esp] - после выполнения в eax будет 6h

push ebp
mov ebp,esp - теперь в ebp адрес вершины стека

push 5h
push 6h
push ebp
mov ebp,esp
mov eax, dword ptr [ebp+8] - в eax 5h

push 5h
push 6h
push ebp
mov ebp,esp; <- сохраняем esp
mov eax, dword ptr [ebp+4]; <- в eax 6h
mov eax, dword ptr [ebp+8]; <- в eax 5h
push 7h
mov eax,dword ptr [ebp-4h]; <- в eax 7h
add esp,4h; <- увеличиваем esp на 4h.В данный момент esp=ebp-4h (тоесть по этому адресу находится семёрка)
;после увеличения по адресу esp будет находится, сохранённое значение ebp
pop ebx <- востонавливаем ebp
push 0
call ExitProcess

jmp metka
metka:
mov eax,metka
jmp eax

Втрой способ:
push metka
retn
metka:

call metka
metka:

stc
jc metka
metka:

mov cl,1
loop metka
metka:

 popad
 jmp xxxxxxxx

 PUSH 0
 CALL Crackme.0040109C ; JMP to kernel32.GetModuleHandleA
 MOV DWORD PTR DS:[404094],EAX 
 CALL Crackme.00401096 ; JMP to kernel32.GetCommandLineA
 MOV DWORD PTR DS:[404098],EAX

/* Transfer execution to some label on next breakpoint. */
 eob Break:
/* Мы заметели, что прога использут popad(61h) для восстановления регистров. Найдём его. */
 findop eip, #61#
/* Поставим бряк на найденый адрес */
 bphws $RESULT, "x"
/* Executes F9 in OllyDbg */
 run
Break:
/* Execute F8 in OllyDbg */
 sto
/* Execute F8 in OllyDbg */
 sto
/* Снимаем брейк */
 bphwc $RESULT
/* Выходим */
 ret

findop eip, #61#
/* go: Executes to specified address (like G in SoftIce) */
/* Выполнять до адреса $RESULT*/
go $RESULT
sto
sto
/* cmt - комментировать строку, по адресу (в данном случае - eip) */
cmt eip," <------------- OEP"
ret

JNZ SHORT Crackme.004053BA
MOV EAX,1
RETN 0C
PUSH Crackme.00402000
RETN

 PUSH 0
 CALL Crackme.0040109C ; JMP to kernel32.GetModuleHandleA
 MOV DWORD PTR DS:[404094],EAX 
 CALL Crackme.00401096 ; JMP to kernel32.GetCommandLineA
 MOV DWORD PTR DS:[404098],EAX

 eob Break
/* 61h=popad, 75h=jnz, дальше всё как в предыдущем примере. */
 findop eip, #6175#
 bphws $RESULT, "x"
 run
Break:
 bphwc $RESULT
 sto
 sto
 sto
 log eip
ret

PUSH EAX
CALL DWORD PTR DS:[EBX+10]
XCHG EAX,EBP
MOV EAX,DWORD PTR DS:[EDI]
INC EAX
JS SHORT Crackme#.004001C2
JNZ SHORT Crackme#.004001D4
JMP DWORD PTR DS:[EBX+C]

/* FF630C - это наш jump на OEP*/
 findop eip, #FF630C#
 go $RESULT
 sto
 cmt eip, "OEP Reached !"
 ret

0012FFC0 0012FFF0
0012FFC4 7C816D4F RETURN to kernel32.7C816D4F
0012FFC8 7C910738 ntdll.7C910738

POP EDX
POP ESI
POP EDI
POP ECX
POP EBX
POP EBP
JMP EAX ; Crackme#.00402000

// Author: hacnho/VCT2k4
// Website: http://nhandan.info/hacnho
// Что могу сказать !!? Читайте readme к OllyScript !!! =)
var CS
var CB
var Temp

sto
findop eax, #C3#
bp $RESULT
esto
esto

gmi eip, CODEBASE
mov CB, $RESULT
log CB

gmi eip, CODESIZE
mov CS, $RESULT
log CS

bpwm CB, CS
esto
sto
bpmc
findop eip, #FFE0#
mov Temp, $RESULT
bp $RESULT
esto
jmp exit

Return:
esto
jmp exit

exit:
cmp eip, Temp
jne Return
sto
log eip
cmt eip, "This is the OEP! Found by hacnho/VCT2k4"
MSG "Dumped and fix IAT now! Thanx for using my Script...!"
ret