00001B4E:FF2504210010JMP[10002104];这样好看多了
0000198B:FF1520210010CALL[10002120]
00001555:8B3D4C210010MOVEDI,[1000214C]
=======================================================================
=======================================================================
看看我对第一处的修改：
注意看重定位问题
（一般调用输入函数返回时，EAX放返回值，所以可以在压栈之后调用之前放心使用EAX）
使用EAX做重定位处理。
用OD打开
修改方法如下：
A:找一处空隙：
10001FD090nop
10001FD190nop;先来两个NOP，防止花指令
10001FD2E800000000;这句用二进制编辑，很重要，OD的右键有
;完成后这句指令就变成call10001FD7
;接下来
10001FD758popeax
10001FD82DD71F0010subeax,10001FD7;这个数对应前面的call
10001FDD0504210010addeax,10002104;这个是函数地址
;对照第一处特征码（00001B4E:FF2504210010JMP[10002104]）
;到这里，函数地址的重定位就完成了
10001FE2FF20jmp[eax];跳到重定位后的函数入口
B:
把光标移到第一处特征码那一行单击
------------
10001FD0=10001FD0
本地调用来自10001773
------------
转到10001773处，
10001773|.E8D6030000call10001B4E
改为
10001773E858080000call10001FD0;指向刚才空隙中的代码起始
这里只有来自10001773的一处调用，如果有多处调用就要改多处，方法一样
C:
把第一处特征码的代码NOP掉
（实际改变的只是FF25这两个字节，后面的04210010在加载时会被加载器改回来）
niu-cow2006-06-04
－－－－－－－－－－－－－－－－
--------------------------------------------------------------------------
看这个特征码：
0000198B:FF1520210010CALL[10002120]
此处有重定位，重定位的范围是0000198d-00001990,即20210010四个字节
这四个字节上不要放指令，会被加载器破坏的，以后NOP掉就是了
看看前后：
10001987|.FF742404pushdwordptr[esp+4];/func
1000198B|.FF1520210010call[10002120];
10001991|.59popecx
第二句没有跳入，可以用万能跳转法
（第一句没关系的，只要没有跳入到“中腰”就行。第三句不改不用考虑）
从10001987处跳出去吧（万能跳转法），jmp 只要五个字节，改到1000198b,
没有到重定位的地方。
A:
找一处空隙
10001FA090nop;防止花指令，方便修改
10001FA190nop
10001FA2FF742404pushdwordptr[esp+4];原来的指令补回去
10001FA6E800000000;二进制编辑
;指令变为call10001FAB
10001FAB58popeax
10001FAC2DAB1F0010subeax,10001FAB;对应前面的call的地址
;从call开始的这三句构成重定位差
;哪个寄存器空闲就用哪个，call前面一般用eax
10001FB10520210010addeax,10002120;
;把原来函数的地址加上重定位差
;到这里，函数地址的重定位已经完成了
10001FB6FF10call[eax];调用函数
10001FB8^E9D4F9FFFFjmp10001991;返回后跳回到下一句
;不要跳到0000198d-00001990
B:
10001987/E914060000jmp10001FA0;跳到刚才空隙中代码的起始
1000198C|90nop
1000198D|90nop
1000198E|90nop
1000198F|90nop
10001990|90nop
-------------------------------------
------------------------------------------------------------------------
再看这个
00001555:8B3D4C210010MOVEDI,[1000214C]
此处MOV指令将改变EDI的值，所以等下重定位时也使用EDI，这样最保险
同样不要在00001557-0000155A改指令，以后NOP掉就是了
同样用OD打开，看看
10001551|.8B542416movedx,[esp+16]
10001555|.8B3D4C210010movedi,[1000214C];USER32.wsprintfA
第二句没有跳入，这样可以用万能跳转法
A:
找一处空隙
10001F7090nop
10001F7190nop
10001F728B542416movedx,[esp+16];补指令，老规矩
10001F76E800000000;这句不用再说了吧call10001F7B
10001F7B5Fpopedi;直接用edi，这是技巧
10001F7C81EF7B1F0010subedi,10001F7B
;这样edi已经是重定位差了
10001F8281C74C210010addedi,1000214C;
;edi的值已经重定位了，
;但现在还不行，注意，原来的指令有个方括号，也就是取地址所指的内存的值
;2006-06-09修改时疏忽了 （2006-06-14修正）
10001F888B3Fmovedi,[edi]
;跳回到原来的下一句吧（这句也要修正，指令相同但机器码不同）
;同样不要跳到NOP掉的地方，这样保险
10001F8A^E9CCF5FFFFjmp1000155B
B:
10001551/E91A0A0000jmp10001F70;这个也不再解释了
10001556|90nop
10001557|90nop
10001558|90nop
10001559|90nop
1000155A|90nop
－－－－－－－－－－－－－－－－
----------------------------------------------------------------------------
－－－－－－－－－－－－－－－－
好了总结一下
重定位的方法其实很简单
先求重定位差：
nop;先来几个nop防止出现花指令
;（这样修改时看得清楚些，或者再放些垃圾指令）
e800000000;这句将变为callxxxxxxxx
;用C32ASM看到的地址和OLLYDBG看到的不一样，没关系的，
;看到啥就是啥
popeax;或别的寄存器，一定要空闲
subeax,xxxxxxxx;每句之间都可放垃圾指令，只要不破坏现场就行了
然后
addeax,yyyyyyyy;yyyyyyyy为需要重定位的(原来的)地址值，
;加上前面求出的重定位差
;就完成了重定位
至于重定位之后，该怎么办就怎么办
空隙要足够大，加了垃圾指令需要更大的空隙。
直接寻址的地方会被加载器重定位的，别试图在这些地方修改指令
剩下的就是跳来跳去的问题了，ok
详细不？不过有点累人。。。。。
