逆向集录_00_不同程序OEP特征总结

• 在分析/逆向 程序时，如果事先知道这类程序的一些特征，那将会是事半功倍的；
• 分析/逆向 程序，和写程序不同，比喻的话：写程序像在作案，分析/逆向 程序就像是在破案，对破案来讲，重在假想和推理；

特征1：VC链接器版本

VS版本	链接器版本
VS2017	14.12
VS2015	14.0, 14.1
VS2013	12.0
VS2012	11.0
VS2010	10.0
VS2008	9.0
VS2005	8.0
VC2003	7.0, 7.1
VC6/VB6/E语言	6.0
VC5/BC++	5.0
Delphi	2.25
VB5	4.20

特征2：OEP

a0) VB5：

【VB5】的OEP平衡堆栈是 sub esp,0x54

【VB5】的OEP第一个API调用是GetStartupInfoA

【VB5】程序的IAT引用，都是FF15型的

a1) VB6

【VB6】的OEP平衡堆栈是 sub esp,0x4C

【VB6】的OEP第一个API调用是GetStartupInfoA

【VB6】程序的IAT引用，都是FF15型的

b0) Delphi

【Delphi】OEP上面是一个地址
【Delphi】OEP处 有5个CALL
【Delphi】OEP 5个CALL之后，全是0
【Delphi】OEP处第一个CALL有GetModuleHandleA调用
【Delphi】的IAT调用是 FF25形式的

b1) BC++

【BC++】 二进制特征：EB1066623A432B2B484F4F4B90
【BC++】 OEP的第一个API调用是 GetModuleHandleA
【BC++】 IAT调用是 FF25形式的

c) VC6/E语言(通过分析，发现二者特征一致，可以判定E语言和VC6如出一辙)

【VC6】的OEP平衡堆栈是 sub esp,0x58 或 sub esp,0x68或add esp, -0x5C

【VC6】的OEP第一个API调用是GetVersion

【VC6】程序的IAT引用，都是FF15型的

d) VS2013

【VS2013】开始处，call xxx; jmp xxx;
【VS2013】的OEP平衡堆栈是sub esp, 0x44
【VS2013】的OEP第一个API调用是GetStartupInfoW
【VS2013】程序的IAT引用，都是FF15型的

这些特征，会对分析程序起到一定的帮助作用，这里，并没有完全列出全部的主流程序，希望抛砖引玉吧；