Як визначити точку входу

Слід розрізняти EP (Entry Point) і OEP (Original Entry Point). Термін EP використовується в разі з не запакованій (або не захищеної протектором) програмою. Якщо програма упакована / захищена, то місце Entry Point займає перша команда пакувальника, тому необхідно знайти оригінальну точку входу - OEP.

Знайти Entry Point, тобто точку входу В не запакованій програмі, можна різними способами. Наприклад, скористайтеся програмою Peid. Відкрийте її, натисніть в правій верхній частині вікна кнопку вибору досліджуваної програми. Для проби відкрийте Блокнот (notepad.exe), він знаходиться в директорії: C: WINDOWSsystem32. Ви побачите адресу Entry Point та інші дані.

Спробуйте визначити Entry Point за допомогою програми LordPE. Відкрийте програму, натисніть кнопку PE Editor, виберіть файл notepad.exe і натисніть ОК. Адреса Entry Point буде вказано в першому рядку.

Запустіть відладчик Olly debugger і відкрийте в ньому файл notepad.exe. Після відкриття файлу відладчик сам зупиниться на Entry Point, рядок з адресою точки входу буде виділена сірим кольором.

Встановіть програму PE Explorer. Запустіть її, відкрийте в ній notepad.exe (File - Open file). Адреса точки входу буде вказано в рядку "Address of Entry Point".

Якщо програма упакована, спочатку треба її розпакувати. Для визначення пакувальника скористайтеся програмою Peid. Запустіть її, відкрийте в ній запаковану програму. В рядку "EP Section" буде вказано пакувальник - наприклад, UPX. Значить, для розпакування вам знадобиться UPX даної версії або одна з численних утиліт, що дозволяють розпаковувати упаковані UPX файли. Якщо жодна утиліта не справляється, розпакуйте файл вручну. Про тонкощі ручної розпакування UPX ви можете дізнатися тут: https://forum.antichat.ru/thread28212.html

Якщо програма захищена протектором, дізнайтеся його версію за допомогою програми Protection ID. Запустіть її, натисніть кнопку "Scan", Виберіть потрібну вам програму. Натисніть кнопку "відкрити". Програма видасть вам інформацію про тип протектора / пакувальника - в тому випадку, якщо ці види протекторів і пакувальників є в її базі.