首页
社区
课程
招聘
[讨论]kb不足只能发帖求助于您了@misthill
发表于: 2016-11-2 16:29 4162

[讨论]kb不足只能发帖求助于您了@misthill

2016-11-2 16:29
4162
翻遍整个网络没找到历程,我还是回头到代码中请教下技术犀利的M大大

@Label_00A61DEA
    00A61DEA    PUSH DWORD PTR [ESP+EAX*4+0x48]
    00A61E3A    PUSH ESI
    00A61E4D    003D
    00A61E4E    001C(00000007)
    00A61E50    0007(00000005)
    00A61E59    0001
    00A61E6E    0009
    00A61E6F    PUSH 0x2
    00A61E79    015F
    00A61E7A    0001
    00A61E94    0153(00000007)
    00A61E9B    0009
    00A61EA9    PUSH 0x48
    00A61EDC    0006
    00A61EE4    0001
    00A61EE5    0009
    00A61EE6    PUSH 0x4
    00A61EF0    0006
    00A61EFD    0001
    00A61EFE    0018
    00A61EFF    LEA EDX,DWORD PTR [EAX+0x85]
    00A61F60    XOR ESI,EDX
    00A61FE6    INC EAX
    00A6202B    CMP EAX,EDI
    00A62068    JB 0xfffffd7d

这段我简化后代码似乎可读,但是似乎丢失了结果保存的ASM代码,大大指点下吧,对了 他的0001的操作码对应的文件我去哪个文件打开比对呢,我想找到vm中的0pcode表的数据来完善一些为清理干净的代码,大大,真心希望能得到您的指点

@Label_00A61DEA
    00A61DEA    MOVZX BYTE ESI PTR [ESP+EAX*4+0x48]
    00A61EFF    LEA EDX,DWORD PTR [EAX+0x85]
    00A61F60    XOR ESI,EDX
    00A61FE6    INC EAX
    00A6202B    CMP EAX,EDI
    00A62068    JB 0xfffffd7d
那么这段代码是不是有句  esi给别的指针存储的代码漏掉了,否则xor了结果丢失了,后面的代码不能通过指针调用到这xor后的8个byte。期待回复为谢。

小白菜特此请教

[培训]科锐逆向工程师培训第53期2025年7月8日开班!

收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 627
活跃值: (668)
能力值: ( LV9,RANK:270 )
在线值:
发帖
回帖
粉丝
2
[QUOTE=杨开银;1451296]翻遍整个网络没找到历程,我还是回头到代码中请教下技术犀利的M大大

@Label_00A61DEA
    00A61DEA    PUSH DWORD PTR [ESP+EAX*4+0x48]
    00A61E3A    PUSH ESI
    00A61E4D    003D
    00...[/QUOTE]

貌似是用Deathway插件生成的Oreans CISC VM虚拟代码的中间文件Cisc_Uv_Dump,能看懂就神了。

而且003D,001C(00000007),0007(00000005)等说明这些Handlers没有被正确识别出来,插件反虚拟化时一定失败。
在所有Handlers都能正确识别的情况下,应该看它最后一步UnVirtualized的代码。

PS:不要点将,这个习惯不好,以前也给你指出过。可能会失去其他人对你的帮助。
2016-11-3 12:06
0
雪    币: 9
活跃值: (544)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
嗯嗯,谢谢
2016-11-5 11:15
0
游客
登录 | 注册 方可回帖
返回