现在流行的免杀方法有哪些?最好用的免杀软件有什么?源码免杀怎么做?
ä¸.å
¥å£ç¹å 1å
ææ³:
1.ç¨å°å·¥å ·PEditor
2.ç¹ç¹:é常ç®åå®ç¨,ä½ææ¶è¿ä¼è¢«å¡å·´æ¥æ]
3.æä½è¦ç¹:ç¨PEditoræå¼æ 壳æ¨é©¬ç¨åº,æåå ¥å£ç¹å 1å³å¯
ãäº.ååå ¥å£å°åå ææ³:ã
1.ç¨å°å·¥å ·:OllyDbg,PEditor
2.ç¹ç¹:æä½ä¹æ¯è¾å®¹æ,èä¸å ææææ¯å ¥å£ç¹å 1ç¹è¦ä½³.
3.æä½è¦ç¹:ç¨ODè½½å ¥æ 壳çæ¨é©¬ç¨åº,æå ¥å£ç¹çåäºå¥ç§»å°é¶åºåå»æ§è¡,ç¶å
åè·³åå°å ¥å£ç¹çä¸é¢ç¬¬ä¸å¥ç»§ç»æ§è¡.æåç¨PEditoræå ¥å£ç¹æ¹æé¶åºåçå°å
ãä¸.å è±æ令æ³å ææ³:ã
1.ç¨å°å·¥å ·:OllyDbg,PEditor
2.ç¹ç¹:å æéç¨æ§é常好,å äºè±æ令å,å°±åºæ¬è¾¾å°å¤§éææ¯è½¯ä»¶çå æ.
3.æä½è¦ç¹:ç¨ODæå¼æ 壳çæ¨é©¬ç¨åº,æ¾å°é¶åºå,ææ们åå¤å¥½çè±æ令填è¿å»
填好ååè·³åå°å ¥å£ç¹,ä¿å好å,åç¨PEditoræå ¥å£ç¹æ¹æé¶åºåå¤å¡«å ¥è±æ令ççå°å.
ãå.å 壳æå ä¼ªè£ å£³å ææ³:ã
1.ç¨å°å·¥å ·:ä¸äºå·é¨å£³,æå ä¼ªè£ å£³çå·¥å ·,æ¯å¦æ¨é©¬å½©è¡£ç.
2.ç¹ç¹:æä½ç®åå,ä½å æçæ¶é´ä¸é¿,å¯è½å¾å¿«è¢«æ,ä¹å¾é¾èº²è¿å¡å·´ç追æ
3.æä½è¦ç¹:为äºè¾¾å°æ´å¥½çå æææå¯éç¨å¤éå 壳,æå äºå£³åå¨å ä¼ªè£ å£³çå ææææ´ä½³
ãäº.æ乱壳ç头æ件æ壳ä¸å è±å ææ³:ã
1.ç¨å°å·¥å ·:ç§å¯è¡å¨ ,UPXå å£³å·¥å ·.
2.ç¹ç¹:æä½ä¹æ¯å»çå,å æææä¹æ£å½ä¸é,ç¹å«å¯¹å¡å·´çå æææé常好
3.æä½è¦ç¹:é¦å ä¸å®è¦æ没å è¿å£³çæ¨é©¬ç¨åºç¨UPXå å±å£³,ç¶åç¨ç§å¯è¡å¨è¿æ¬¾
å·¥å ·ä¸çSCrambleåè½è¿è¡æUPX壳ç头æ件æä¹±,ä»èè¾¾å°å æææ.
ãå .ä¿®æ¹æ件ç¹å¾ç å ææ³:ã
1.ç¨å°å·¥å ·:ç¹å¾ç å®ä½å¨,OllyDbg
2.ç¹ç¹:æä½è¾å¤æ,è¦å®ä½ä¿®æ¹ä¸ç³»åè¿ç¨,èä¸åªé对æ¯ç§ææ¯è½¯ä»¶çå æ,è¦è¾¾
å°å¤ç§ææ¯è½¯ä»¶çå æ,å¿ éä¿®æ¹åç§ææ¯è½¯ä»¶çç¹å¾ç .ä½å æææ好
[ç¹å¾ç ä¿®æ¹æ¹æ³]
ç¹å¾ç ä¿®æ¹å æ¬æ件ç¹å¾ç ä¿®æ¹åå åç¹å¾ç ä¿®æ¹ï¼å 为è¿äºç§ç¹å¾ç çä¿®æ¹æ¹
æ³æ¯éç¨çãæ以就对ç®åæµè¡çç¹å¾ç ä¿®æ¹æ¹æ³ä½ä¸ªæ»èã
[æ¹æ³ä¸:ç´æ¥ä¿®æ¹ç¹å¾ç çåå è¿å¶æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçåå è¿å¶æ¹ææ°åå·®1æå·®ä¸å¤çåå è¿å¶.
2.éç¨èå´:ä¸å®è¦ç²¾ç¡®å®ä½ç¹å¾ç æ对åºçåå è¿å¶,ä¿®æ¹åä¸å®è¦æµè¯ä¸ä¸è½å¦æ£å¸¸ä½¿ç¨.
[æ¹æ³äº:ä¿®æ¹å符串大å°åæ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçå 容æ¯å符串ç,åªè¦æ大å°åäºæ¢ä¸ä¸å°±å¯ä»¥äº.
2.éç¨èå´:ç¹å¾ç æ对åºçå å®¹å¿ éæ¯å符串,å¦åä¸è½æå.
[æ¹æ³ä¸:çä»·æ¿æ¢æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçæ±ç¼æ令å½ä»¤ä¸æ¿æ¢æåè½ç±»æçæ令.
2.éç¨èå´:ç¹å¾ç ä¸å¿ éæå¯ä»¥æ¿æ¢çæ±ç¼æ令.æ¯å¦JN,JNE æ¢æJMPç.å¦æåæä¸æ ·å¯¹æ±ç¼ä¸æçå¯ä»¥å»æ¥æ¥8080æ±ç¼æå.
[æ¹æ³å:æ令顺åºè°æ¢æ³]
1.ä¿®æ¹æ¹æ³:æå ·æç¹å¾ç ç代ç 顺åºäºæ¢ä¸ä¸.
2.éç¨èå´:å ·æä¸å®çå±éæ§,代ç äºæ¢åè¦ä¸è½å½±åç¨åºçæ£å¸¸æ§è¡
[æ¹æ³äº:éç¨è·³è½¬æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç 移å°é¶åºå(æ代ç ç空éå¤),ç¶åä¸ä¸ªJMPåè·³åæ¥æ§è¡.
2.éç¨èå´:没æä»ä¹æ¡ä»¶,æ¯éç¨çæ¹æ³,强ç建议大家è¦ææ¡è¿ç§æ¹æ³.
æ¨é©¬å æç综åä¿®æ¹æ¹æ³
æ件å ææ¹æ³ï¼1.å å·é¨å£³ 2.å è±æ令 3.æ¹ç¨åºå ¥å£ç¹ 4.æ¹æ¨é©¬æ件ç¹å¾ç ç5ç§å¸¸ç¨æ¹æ³
5.è¿æå ¶å®çå ç§å æä¿®æ¹æå·§
ãä¸.å åå ææ¹æ³:ã
ä¿®æ¹å åç¹å¾ç ï¼
æ¹æ³1>ç´æ¥ä¿®æ¹ç¹å¾ç çåå è¿å¶æ³
æ¹æ³2>ä¿®æ¹å符串大å°åæ³
æ¹æ³3>çä»·æ¿æ¢æ³
æ¹æ³4>æ令顺åºè°æ¢æ³
æ¹æ³5>éç¨è·³è½¬æ³
å£³å ¥å£ä¿®æ¹æ³
1.ç¨å°å·¥å ·ï¼å缩壳 OD
2.ç¹ç¹ï¼æä½ç®å å æææ好
3.æä½æ¥éª¤ï¼é¦å ç»æ¨é©¬å å缩壳 ç¶åç¨ODè½½å ¥ï¼å¨å ¥å£å¤çå15å¥ä¸NOPææäºä»£ç æè ç价代æ¢æäºä»£ç
ãå «.è¾å ¥è¡¨å ææ¹æ³:ã
[ä¸ï¼ç§»ä½æ³]
1 é¦å ç¨lordpeæå¼ï¼ç®å½ï¼å¯¼å ¥è¡¨æ¾å°ä½ è¦æ¹çå½æ°ãæ¯å¦è¯´CommandLineA
2 è®°ä¸æªæ¹åå½æ°çthunkvalue 举ä¾ï¼00062922
3 å°è¦ä¿®æ¹çæ件ç¨winhexç16è¿å¶å½¢å¼æå¼ï¼ç¶åæ¾å°è¯¥å½æ°çå°åï¼æ¯å¦è¯´00062988
4 å°è¯¥å½æ°ç¨00å¡«å ï¼ç§»å¨å°æ°å°åå¦00070000
5 ä¿å
6 å°ä¿ååçæ件ç¨lordpeæå¼ï¼æå¼è®¡ç®å¨ï¼éæ©16è¿å¶ï¼00062988-00062922+00070000ï¼è®¡ç®ç»æä¿®æ¹ä¸ºæ°çthunkvalueãä¿å
注ï¼å ¬å¼-> å åå°å=RAV+RAVåºå ï¼RAVåºå°åå¯ä»¥å¨LORDPEä¸çå°.è¾å ¥è¡¨å½æ°ååæä¸¤ä¸ªç©ºæ ¼æ以RAVçå°åè¦åå»2
[äºï¼ä¿®æ¹å符æ³]
ä»å¤©å®ä½Drat2.9å¡å·´ç¹å¾ç ï¼æ¯å¨è¾å ¥è¡¨ä¸ï¼ï¼è¿æ¶å¥åºè¯ï¼ç°å¨å¡å·´åºæ¬é½æè¾å ¥è¡¨ï¼
[ç¹å¾] 00025175_00000001 ZwUnmapViewOfSection ä»çç¹å¾ç ä½ç½®æ¯å½æ°åé¢çé£ä¸ª00
ï¼è¿ä¸ªå½æ°æå¨å¼å§ç§»å¨è¿ä½ç½®ï¼åå§DATæ件çç¹å¾ç æ¯0002516A_00000001ï¼åæ ·æ¯å½æ°åé¢çé£ä¸ª00ï¼
æå¼å§æ¯éæ©C32移å¨ä½ç½®ï¼LordPEä¿®æ¹è¾å ¥è¡¨ï¼ä½æ¯ä¸è¡ï¼åæ¥è¯è¿ODæé移ä½ï¼è¿æ¯ä¸è¡ï¼CALLæ¹JMPé½ä¸è¡
æåç°LordPEå¯ä»¥ä¿®æ¹å½æ°å称ï¼ä¾¿ç¨C32å°ZwUnmapViewOfSectionå½æ°åé¢å äºä¸ªå符bï¼ä½ å¯ä»¥éæå å符ï¼
ç±äºLordPE读åè¾å ¥è¡¨å½æ°æ¯ä»ThunkValueå¼å§ï¼ä¸ç´å°è¿ä¸ªè¿ç»çå符串åç00å¤ï¼
ç±äºå¨ZwUnmapViewOfSectionå½æ°åå äºä¸ªå符bï¼ç°å¨LordPE读åçæ¤å¤å½æ°ä¸ºZwUnmapViewOfSectionb
æ¤æ¶å°ZwUnmapViewOfSectionbå½æ°åé¢çé£ä¸ªbå é¤ï¼ä¿åä¸æ件ï¼è¿æ¶å°±å æäºï¼
è¿æ ·ä¸ä¿®æ¹ï¼å¨æ件00025175å¤ç16è¿å¶ä»£ç ä¸æ¯00ï¼èæ¯62ï¼æ以å¡å·´å°±è¿äºï¼èç¨lardPEä¿®æ¹åå½æ°åï¼æ件çè¾å ¥è¡¨çå½æ°è¿æ¯ZwUnmapViewOfSectionï¼çææå¡ç«¯å¯ä»¥è¿è¡ï¼
ãå æç»éª:ã
1.å åº,å è±å,åå å¯,å¯ä»¥æ¯è¾å®¹æè¿å¡å·´----å¦å å¯å·¥å ·vmprotect
è±å£³è¿çæ¨é©¬---å è±æ令,æå åºå è±---å å¯---å å缩壳---åå åºå è±æ令
2.ååå å æè±æ令已ç»ä¸è½è¿å¡å·´,ä¸å®è¦é åå è±åå¨å å缩壳,æè½èµ·å°å æå¡å·´çææ.
vmprotectå å¯----åå è±-----å¯è¿å¡å·´:
3.å åå±è±æ令å ææ³----å å¡å·´
4.å å¯---007å åå ----å å ---å å¡å·´æå å.
5.åå±å å¯(maskpE)---å å ----å¯è¿å¡å·´.
6.maskpeå å¯---asppackå 壳 ---æ¹å ¥å£ç¹å 1---å¯è¿å¡å·´
7.å å¯maskpe----å è±æå åºå è±(ç¨å·¥å ·)-----å å缩壳---å å¡å·´
8.åæ对é»é²é¸½åå¯å åäºæ¬¡,ååå ¶å®å缩壳.以达å æ.
9.å è¿åæ壳,åä¸ææ»å¼é¼ æ 50å¤æ¬¡,æä¸æ®µç©ºä»£ç ,å¯ä»¥å è±,转移.
10.å»å¤´è½¬ç§»å ¥å£ç¹---å è±----å å¯(vmprotect) ----å å缩==è¿ææææ¯
11.对ä»å¡å·´,å å æè±æ令.è±æ令对çæ表é¢æ¥æä¸è¬æ æ,ä¸è¬å å缩壳.
12.对ä»çæ表é¢: æäºé»è½¯,å åº,å è±å被çæ表é¢æ,å¯ä»¥è¿æ ·:å å åè¿çæ表é¢,ç¶åå å æè±æ令,è¿å¡å·´.
13.è¿çæ表é¢çæ¥ææ¹æ³: 1.å åæå åå æå缩壳 2.å è¿çæ表é¢çä¸ç¨å å¯å·¥å ·. 3.ç¨maskPEå å¯å·¥å ·å å¯ æºç å æï¼è¦æ±æ¥¼ä¸»å¿ é¡»ä¼ç¼ç¨è¯è¨ï¼å¦Cè¯è¨ï¼Eè¯è¨çãå¯ä»¥è½½å ¥IDAä¸è°è¯ï¼éè¿ä¿®æ¹æºç è¯å¥ã
1.ç¨å°å·¥å ·PEditor
2.ç¹ç¹:é常ç®åå®ç¨,ä½ææ¶è¿ä¼è¢«å¡å·´æ¥æ]
3.æä½è¦ç¹:ç¨PEditoræå¼æ 壳æ¨é©¬ç¨åº,æåå ¥å£ç¹å 1å³å¯
ãäº.ååå ¥å£å°åå ææ³:ã
1.ç¨å°å·¥å ·:OllyDbg,PEditor
2.ç¹ç¹:æä½ä¹æ¯è¾å®¹æ,èä¸å ææææ¯å ¥å£ç¹å 1ç¹è¦ä½³.
3.æä½è¦ç¹:ç¨ODè½½å ¥æ 壳çæ¨é©¬ç¨åº,æå ¥å£ç¹çåäºå¥ç§»å°é¶åºåå»æ§è¡,ç¶å
åè·³åå°å ¥å£ç¹çä¸é¢ç¬¬ä¸å¥ç»§ç»æ§è¡.æåç¨PEditoræå ¥å£ç¹æ¹æé¶åºåçå°å
ãä¸.å è±æ令æ³å ææ³:ã
1.ç¨å°å·¥å ·:OllyDbg,PEditor
2.ç¹ç¹:å æéç¨æ§é常好,å äºè±æ令å,å°±åºæ¬è¾¾å°å¤§éææ¯è½¯ä»¶çå æ.
3.æä½è¦ç¹:ç¨ODæå¼æ 壳çæ¨é©¬ç¨åº,æ¾å°é¶åºå,ææ们åå¤å¥½çè±æ令填è¿å»
填好ååè·³åå°å ¥å£ç¹,ä¿å好å,åç¨PEditoræå ¥å£ç¹æ¹æé¶åºåå¤å¡«å ¥è±æ令ççå°å.
ãå.å 壳æå ä¼ªè£ å£³å ææ³:ã
1.ç¨å°å·¥å ·:ä¸äºå·é¨å£³,æå ä¼ªè£ å£³çå·¥å ·,æ¯å¦æ¨é©¬å½©è¡£ç.
2.ç¹ç¹:æä½ç®åå,ä½å æçæ¶é´ä¸é¿,å¯è½å¾å¿«è¢«æ,ä¹å¾é¾èº²è¿å¡å·´ç追æ
3.æä½è¦ç¹:为äºè¾¾å°æ´å¥½çå æææå¯éç¨å¤éå 壳,æå äºå£³åå¨å ä¼ªè£ å£³çå ææææ´ä½³
ãäº.æ乱壳ç头æ件æ壳ä¸å è±å ææ³:ã
1.ç¨å°å·¥å ·:ç§å¯è¡å¨ ,UPXå å£³å·¥å ·.
2.ç¹ç¹:æä½ä¹æ¯å»çå,å æææä¹æ£å½ä¸é,ç¹å«å¯¹å¡å·´çå æææé常好
3.æä½è¦ç¹:é¦å ä¸å®è¦æ没å è¿å£³çæ¨é©¬ç¨åºç¨UPXå å±å£³,ç¶åç¨ç§å¯è¡å¨è¿æ¬¾
å·¥å ·ä¸çSCrambleåè½è¿è¡æUPX壳ç头æ件æä¹±,ä»èè¾¾å°å æææ.
ãå .ä¿®æ¹æ件ç¹å¾ç å ææ³:ã
1.ç¨å°å·¥å ·:ç¹å¾ç å®ä½å¨,OllyDbg
2.ç¹ç¹:æä½è¾å¤æ,è¦å®ä½ä¿®æ¹ä¸ç³»åè¿ç¨,èä¸åªé对æ¯ç§ææ¯è½¯ä»¶çå æ,è¦è¾¾
å°å¤ç§ææ¯è½¯ä»¶çå æ,å¿ éä¿®æ¹åç§ææ¯è½¯ä»¶çç¹å¾ç .ä½å æææ好
[ç¹å¾ç ä¿®æ¹æ¹æ³]
ç¹å¾ç ä¿®æ¹å æ¬æ件ç¹å¾ç ä¿®æ¹åå åç¹å¾ç ä¿®æ¹ï¼å 为è¿äºç§ç¹å¾ç çä¿®æ¹æ¹
æ³æ¯éç¨çãæ以就对ç®åæµè¡çç¹å¾ç ä¿®æ¹æ¹æ³ä½ä¸ªæ»èã
[æ¹æ³ä¸:ç´æ¥ä¿®æ¹ç¹å¾ç çåå è¿å¶æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçåå è¿å¶æ¹ææ°åå·®1æå·®ä¸å¤çåå è¿å¶.
2.éç¨èå´:ä¸å®è¦ç²¾ç¡®å®ä½ç¹å¾ç æ对åºçåå è¿å¶,ä¿®æ¹åä¸å®è¦æµè¯ä¸ä¸è½å¦æ£å¸¸ä½¿ç¨.
[æ¹æ³äº:ä¿®æ¹å符串大å°åæ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçå 容æ¯å符串ç,åªè¦æ大å°åäºæ¢ä¸ä¸å°±å¯ä»¥äº.
2.éç¨èå´:ç¹å¾ç æ对åºçå å®¹å¿ éæ¯å符串,å¦åä¸è½æå.
[æ¹æ³ä¸:çä»·æ¿æ¢æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç æ对åºçæ±ç¼æ令å½ä»¤ä¸æ¿æ¢æåè½ç±»æçæ令.
2.éç¨èå´:ç¹å¾ç ä¸å¿ éæå¯ä»¥æ¿æ¢çæ±ç¼æ令.æ¯å¦JN,JNE æ¢æJMPç.å¦æåæä¸æ ·å¯¹æ±ç¼ä¸æçå¯ä»¥å»æ¥æ¥8080æ±ç¼æå.
[æ¹æ³å:æ令顺åºè°æ¢æ³]
1.ä¿®æ¹æ¹æ³:æå ·æç¹å¾ç ç代ç 顺åºäºæ¢ä¸ä¸.
2.éç¨èå´:å ·æä¸å®çå±éæ§,代ç äºæ¢åè¦ä¸è½å½±åç¨åºçæ£å¸¸æ§è¡
[æ¹æ³äº:éç¨è·³è½¬æ³]
1.ä¿®æ¹æ¹æ³:æç¹å¾ç 移å°é¶åºå(æ代ç ç空éå¤),ç¶åä¸ä¸ªJMPåè·³åæ¥æ§è¡.
2.éç¨èå´:没æä»ä¹æ¡ä»¶,æ¯éç¨çæ¹æ³,强ç建议大家è¦ææ¡è¿ç§æ¹æ³.
æ¨é©¬å æç综åä¿®æ¹æ¹æ³
æ件å ææ¹æ³ï¼1.å å·é¨å£³ 2.å è±æ令 3.æ¹ç¨åºå ¥å£ç¹ 4.æ¹æ¨é©¬æ件ç¹å¾ç ç5ç§å¸¸ç¨æ¹æ³
5.è¿æå ¶å®çå ç§å æä¿®æ¹æå·§
ãä¸.å åå ææ¹æ³:ã
ä¿®æ¹å åç¹å¾ç ï¼
æ¹æ³1>ç´æ¥ä¿®æ¹ç¹å¾ç çåå è¿å¶æ³
æ¹æ³2>ä¿®æ¹å符串大å°åæ³
æ¹æ³3>çä»·æ¿æ¢æ³
æ¹æ³4>æ令顺åºè°æ¢æ³
æ¹æ³5>éç¨è·³è½¬æ³
å£³å ¥å£ä¿®æ¹æ³
1.ç¨å°å·¥å ·ï¼å缩壳 OD
2.ç¹ç¹ï¼æä½ç®å å æææ好
3.æä½æ¥éª¤ï¼é¦å ç»æ¨é©¬å å缩壳 ç¶åç¨ODè½½å ¥ï¼å¨å ¥å£å¤çå15å¥ä¸NOPææäºä»£ç æè ç价代æ¢æäºä»£ç
ãå «.è¾å ¥è¡¨å ææ¹æ³:ã
[ä¸ï¼ç§»ä½æ³]
1 é¦å ç¨lordpeæå¼ï¼ç®å½ï¼å¯¼å ¥è¡¨æ¾å°ä½ è¦æ¹çå½æ°ãæ¯å¦è¯´CommandLineA
2 è®°ä¸æªæ¹åå½æ°çthunkvalue 举ä¾ï¼00062922
3 å°è¦ä¿®æ¹çæ件ç¨winhexç16è¿å¶å½¢å¼æå¼ï¼ç¶åæ¾å°è¯¥å½æ°çå°åï¼æ¯å¦è¯´00062988
4 å°è¯¥å½æ°ç¨00å¡«å ï¼ç§»å¨å°æ°å°åå¦00070000
5 ä¿å
6 å°ä¿ååçæ件ç¨lordpeæå¼ï¼æå¼è®¡ç®å¨ï¼éæ©16è¿å¶ï¼00062988-00062922+00070000ï¼è®¡ç®ç»æä¿®æ¹ä¸ºæ°çthunkvalueãä¿å
注ï¼å ¬å¼-> å åå°å=RAV+RAVåºå ï¼RAVåºå°åå¯ä»¥å¨LORDPEä¸çå°.è¾å ¥è¡¨å½æ°ååæä¸¤ä¸ªç©ºæ ¼æ以RAVçå°åè¦åå»2
[äºï¼ä¿®æ¹å符æ³]
ä»å¤©å®ä½Drat2.9å¡å·´ç¹å¾ç ï¼æ¯å¨è¾å ¥è¡¨ä¸ï¼ï¼è¿æ¶å¥åºè¯ï¼ç°å¨å¡å·´åºæ¬é½æè¾å ¥è¡¨ï¼
[ç¹å¾] 00025175_00000001 ZwUnmapViewOfSection ä»çç¹å¾ç ä½ç½®æ¯å½æ°åé¢çé£ä¸ª00
ï¼è¿ä¸ªå½æ°æå¨å¼å§ç§»å¨è¿ä½ç½®ï¼åå§DATæ件çç¹å¾ç æ¯0002516A_00000001ï¼åæ ·æ¯å½æ°åé¢çé£ä¸ª00ï¼
æå¼å§æ¯éæ©C32移å¨ä½ç½®ï¼LordPEä¿®æ¹è¾å ¥è¡¨ï¼ä½æ¯ä¸è¡ï¼åæ¥è¯è¿ODæé移ä½ï¼è¿æ¯ä¸è¡ï¼CALLæ¹JMPé½ä¸è¡
æåç°LordPEå¯ä»¥ä¿®æ¹å½æ°å称ï¼ä¾¿ç¨C32å°ZwUnmapViewOfSectionå½æ°åé¢å äºä¸ªå符bï¼ä½ å¯ä»¥éæå å符ï¼
ç±äºLordPE读åè¾å ¥è¡¨å½æ°æ¯ä»ThunkValueå¼å§ï¼ä¸ç´å°è¿ä¸ªè¿ç»çå符串åç00å¤ï¼
ç±äºå¨ZwUnmapViewOfSectionå½æ°åå äºä¸ªå符bï¼ç°å¨LordPE读åçæ¤å¤å½æ°ä¸ºZwUnmapViewOfSectionb
æ¤æ¶å°ZwUnmapViewOfSectionbå½æ°åé¢çé£ä¸ªbå é¤ï¼ä¿åä¸æ件ï¼è¿æ¶å°±å æäºï¼
è¿æ ·ä¸ä¿®æ¹ï¼å¨æ件00025175å¤ç16è¿å¶ä»£ç ä¸æ¯00ï¼èæ¯62ï¼æ以å¡å·´å°±è¿äºï¼èç¨lardPEä¿®æ¹åå½æ°åï¼æ件çè¾å ¥è¡¨çå½æ°è¿æ¯ZwUnmapViewOfSectionï¼çææå¡ç«¯å¯ä»¥è¿è¡ï¼
ãå æç»éª:ã
1.å åº,å è±å,åå å¯,å¯ä»¥æ¯è¾å®¹æè¿å¡å·´----å¦å å¯å·¥å ·vmprotect
è±å£³è¿çæ¨é©¬---å è±æ令,æå åºå è±---å å¯---å å缩壳---åå åºå è±æ令
2.ååå å æè±æ令已ç»ä¸è½è¿å¡å·´,ä¸å®è¦é åå è±åå¨å å缩壳,æè½èµ·å°å æå¡å·´çææ.
vmprotectå å¯----åå è±-----å¯è¿å¡å·´:
3.å åå±è±æ令å ææ³----å å¡å·´
4.å å¯---007å åå ----å å ---å å¡å·´æå å.
5.åå±å å¯(maskpE)---å å ----å¯è¿å¡å·´.
6.maskpeå å¯---asppackå 壳 ---æ¹å ¥å£ç¹å 1---å¯è¿å¡å·´
7.å å¯maskpe----å è±æå åºå è±(ç¨å·¥å ·)-----å å缩壳---å å¡å·´
8.åæ对é»é²é¸½åå¯å åäºæ¬¡,ååå ¶å®å缩壳.以达å æ.
9.å è¿åæ壳,åä¸ææ»å¼é¼ æ 50å¤æ¬¡,æä¸æ®µç©ºä»£ç ,å¯ä»¥å è±,转移.
10.å»å¤´è½¬ç§»å ¥å£ç¹---å è±----å å¯(vmprotect) ----å å缩==è¿ææææ¯
11.对ä»å¡å·´,å å æè±æ令.è±æ令对çæ表é¢æ¥æä¸è¬æ æ,ä¸è¬å å缩壳.
12.对ä»çæ表é¢: æäºé»è½¯,å åº,å è±å被çæ表é¢æ,å¯ä»¥è¿æ ·:å å åè¿çæ表é¢,ç¶åå å æè±æ令,è¿å¡å·´.
13.è¿çæ表é¢çæ¥ææ¹æ³: 1.å åæå åå æå缩壳 2.å è¿çæ表é¢çä¸ç¨å å¯å·¥å ·. 3.ç¨maskPEå å¯å·¥å ·å å¯ æºç å æï¼è¦æ±æ¥¼ä¸»å¿ é¡»ä¼ç¼ç¨è¯è¨ï¼å¦Cè¯è¨ï¼Eè¯è¨çãå¯ä»¥è½½å ¥IDAä¸è°è¯ï¼éè¿ä¿®æ¹æºç è¯å¥ã
温馨提示:答案为网友推荐,仅供参考