介绍
种新
免杀思路方法！今天定位个远控过BitDefender特征码！！！地址00496034！！！！我们看看具体代码！！ 0049602D: 75 F9 JNZ SHORT 00496028
0049602F: 51 PUSH ECX
00496030: 53 PUSH EBX
00496031: 56 PUSH ESI
00496032: 57 PUSH EDI
00496033: 8945 FC MOV [EBP-4],EAX (特征码在这里)
00496036: 33C0 XOR EAX,EAX
00496038: 55 PUSH EBP
00496039: 68 22724900 PUSH 497222
0049603E: 64:FF30 PUSH DWORD PTR FS:[EAX]
按照我们以前
修改思路方法 无非就是 mov [ebp-4],eax 和xor eax,eax调换位置 或者 push 上面4组指令 再来就是最顶部jnz指令改为相近指令！或者直接来个乾坤大挪移? 对于这处特征码 Bitdefender真不愧为世界第杀毒 的前老觉得小红伞BT 没想到这个更BT 定位在代码段也那么厉害 这些思路方法全用上了 依然无效 而且上面所用思路方法 根本不能修改此处 任何点稍微动下 
直接不能运行！ 我们仔细看看这段代码
顶部JNZ 我们不去管他 即使能修改 恐怕也达不到免杀目再下来 4条PUSH指令 我们知道PUSH再汇编中是进栈指令
最理想思路方法就是对调PUSH来达到免杀目那是上面说个这个思路方法无效所以即使你把PUSH换成POP 同样不行！接下来我们看看这句MOV [EBP-4],EAX 这里不难理解 MOV 在汇编中是传送指令 上面这句我们理解为 把EBP-4值 赋予EAX 下来句 XOR EAX,EAX 异或运算 这句话意思就是 把EAX值归0 这里不是有矛盾吗？ 上下两句
意思就是赋予EAX 为0 这里我就想到了个新免杀窍门技巧 我们NOP掉 MOV [EBP-4],EAX XOR EAX,EAX 这两句 重新写上mov eax,0 保存后 运行正常 免杀成功！！！！！这里只是给大家个思路 我不能保证这样修改思路方法 是否完全不影响 但是大家在免杀时候 如果遇到同样难题时候 不妨多种思路方法而已！！！ 篇文章: 从CSDN 漏洞谈.NET 安全开发篇文章: 伪黑客破解QQ密码全过程
最新评论