[求助]代码变形乱序还原-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

最新回复 (5)
lookzo 雪币： 6 活跃值： (1498) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 534 粉丝 2 关注私信	lookzo 2 楼搞颠倒了吧,上边的是变形后的 2012-9-27 22:26 0
feinushen 雪币： 264 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 42 粉丝 0 关注私信	feinushen 3 楼没颠倒call yyyyyyyy里面有几百行变形乱序的代码这是TTP里面的乱序变形 2012-9-28 19:03 0
万俟飘然雪币： 305 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 120 粉丝 0 关注私信	万俟飘然 4 楼一般是在函数入口点处修改，用一个call调用直接到自己的代码处执行完自己的程序在回来执行原程序的代码。感染型病毒一般这样干也不排除别的 call调用里面主要是自己的代码，一般是加密的。但是他要执行自己的代码肯定得解密。所以你要分析call里面的循环部分（一般就是解密函数）。 Note: 直接用OD加载进call里面，动态调试或者IDA用idc脚本或者python都是可以的。我一般是用OD解密完了再dump出来用IDA加载分析。 2012-9-28 20:32 0
feinushen 雪币： 264 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 42 粉丝 0 关注私信	feinushen 5 楼貌似没有理解我的意思（或者是我理解错了）加密前（5个字节）： pop ecx pop ecx test esi,esi jnz xxxxxxxx 加密后（5个字节）： call yyyyyyyy 现在的问题是在没有知道加密前的代码的前提下，通过写代码将加密前的代码: pop ecx pop ecx test esi,esi jnz xxxxxxxx 给识别出来 (注意：实际的运行中会根据esi的值进过一系列的运算到不同的地址，然后通过retn跳出call yyyyyyyy，call的内部不会出现jnz xxxxxxxx这一句的，像这样的test jnz这样的指令识别比较麻烦的,call的内部影响标志寄存器的指令非常多) 像这样普通的代码被加密的有上百处，不可能每处都用IDA分析呀 2012-9-28 20:51 0
万俟飘然雪币： 305 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 120 粉丝 0 关注私信	万俟飘然 6 楼是我理解错了，貌似见过这个方法。 2012-9-28 21:23 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (5)
lookzo 雪币： 6 活跃值： (1498) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 534 粉丝 2 关注私信	lookzo 2 楼搞颠倒了吧,上边的是变形后的 2012-9-27 22:26 0
feinushen 雪币： 264 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 42 粉丝 0 关注私信	feinushen 3 楼没颠倒call yyyyyyyy里面有几百行变形乱序的代码这是TTP里面的乱序变形 2012-9-28 19:03 0
万俟飘然雪币： 305 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 120 粉丝 0 关注私信	万俟飘然 4 楼一般是在函数入口点处修改，用一个call调用直接到自己的代码处执行完自己的程序在回来执行原程序的代码。感染型病毒一般这样干也不排除别的 call调用里面主要是自己的代码，一般是加密的。但是他要执行自己的代码肯定得解密。所以你要分析call里面的循环部分（一般就是解密函数）。 Note: 直接用OD加载进call里面，动态调试或者IDA用idc脚本或者python都是可以的。我一般是用OD解密完了再dump出来用IDA加载分析。 2012-9-28 20:32 0
feinushen 雪币： 264 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 42 粉丝 0 关注私信	feinushen 5 楼貌似没有理解我的意思（或者是我理解错了）加密前（5个字节）： pop ecx pop ecx test esi,esi jnz xxxxxxxx 加密后（5个字节）： call yyyyyyyy 现在的问题是在没有知道加密前的代码的前提下，通过写代码将加密前的代码: pop ecx pop ecx test esi,esi jnz xxxxxxxx 给识别出来 (注意：实际的运行中会根据esi的值进过一系列的运算到不同的地址，然后通过retn跳出call yyyyyyyy，call的内部不会出现jnz xxxxxxxx这一句的，像这样的test jnz这样的指令识别比较麻烦的,call的内部影响标志寄存器的指令非常多) 像这样普通的代码被加密的有上百处，不可能每处都用IDA分析呀 2012-9-28 20:51 0
万俟飘然雪币： 305 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 120 粉丝 0 关注私信	万俟飘然 6 楼是我理解错了，貌似见过这个方法。 2012-9-28 21:23 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复