逆向工程核心原理学习笔记（二）：字符串检索法查找main函数

首先就是OD载入我们的程序

然后鼠标右键，如图，找到智能搜索.

然后点击，找到了HelloWord字符串

双击跟进去就是main函数的地址了

这样做的前提是因为我们知道线索（程序在运行时就弹出信息框），所以才可以这样做。

同时我们看到了此时这个地址PUSH的参数push    0x40ED00

我们在下面的数据窗口看看里面是什么东西。

在左下角Ctrl+G，然后输入40ED00，回车跟进。

我们发现了我们的helloword字符串。

如果我们在反汇编区域跟进这个地址将会是这样的：

这是因为这个地址属于数据区域，而不是代码区域，程序的代码区域和数据区域的内存是分开的。