themida unpack 할때 신기한점 (1)

themida를 언팩해보고 있는데 신기해서 써본다

보면 edi가 가리키는 값을 감소 시키는데 이게 바로 아래있는 주소를 가리키고 있다. 그래서 그냥 브포를 걸고 탈출해버리면 전혀 다른 asm이 나오게 된다.(브포를 걸면 해당주소의 값이 CC로 바뀌기 때문) 

이 주소를 다 지나갈 때까지 f8을 이용해서 하다가 지나가고 나면 브포를 걸고 진행해야한다... 바로 아래 코드가 실시간으로 변하는 걸 보니까 신기했다.

더미다 깔때는 함부로 브포걸지말자 바로 다음주소도 실제 opcode가 아니라 풀어야 하는 곳일지도 모른다...