我要评论摘自：jgaoabc的空间
接我们继续对其进行免杀，这就是加花指令，我们要加的花指令不是世面上常见的，我们加的花指令具有实际操作功能的，并且模拟加壳软件一些动作的，主要目的是让杀软搞不清楚什么东东。首先寻找空区域，加了北斗壳之后，程序空区域很少，那我们就来改吧，可以修改成空区域的有版本和图标段，这二段都在程序的开头部分，这样修改之后不影响程序运行。就修改版本吧，用C32ASM打开压缩文件，在开始的地方往下一点就是版本的位置，它是一个字符接一个00结构的，选取一段填充00，然后添加如下代码：
0043A1A6 > 60 pushad 现入口点
0043A1A7 E8 00000000 call Server_0.0043A1AC
0043A1AC 5D pop ebp
0043A1AD 83C5 10 add ebp,10
0043A1B0 3E:8D45 56 lea eax,dword ptr ds:[ebp+56]
0043A1B4 8B8D 5C030000 mov ecx,dword ptr ss:[ebp+35C]
0043A1BA 36:8B18 mov ebx,dword ptr ss:[eax]
0043A1BD 53 push ebx
0043A1BE 51 push ecx
0043A1BF 6A 01 push 1
0043A1C1 899D 5C030000 mov dword ptr ss:[ebp+35C],ebx
0043A1C7 8B8D 6C050000 mov ecx,dword ptr ss:[ebp+56C]
0043A1CD 51 push ecx
0043A1CE 03D8 add ebx,eax
0043A1D0 3E:895D 56 mov dword ptr ds:[ebp+56],ebx
0043A1D4 8A5D E9 mov bl,byte ptr ss:[ebp-17]
0043A1D7 80FB 00 cmp bl,0
0043A1DA ^ 75 E1 jnz short Server_0.0043A1BD
0043A1DC 8D4D 40 lea ecx,dword ptr ss:[ebp+40]
0043A1DF 58 pop eax
0043A1E0 8985 6C050000 mov dword ptr ss:[ebp+56C],eax
0043A1E6 5B pop ebx
0043A1E7 03D8 add ebx,eax
0043A1E9 59 pop ecx
0043A1EA 898D 5C030000 mov dword ptr ss:[ebp+35C],ecx
0043A1F0 58 pop eax
0043A1F1 3E:8945 56 mov dword ptr ds:[ebp+56],eax
0043A1F5 8A5D E8 mov bl,byte ptr ss:[ebp-18]
0043A1F8 80FB 00 cmp bl,0
0043A1FB 61 popad
0043A1FC 0F84 18080000 je Server_0.0043AA1A 原入口点
直接用二进制粘贴，二进制代码为：
60 E8 00 00 00 00 5D 83 C5 10 3E 8D 45 56 8B 8D 5C 03 00 00 36 8B 18 53 51 6A 01 89 9D 5C 03 00 00 8B 8D 6C 05 00 00 51 03 D8 3E 89 5D 56 8A 5D E9 80 FB 00 75 E1 8D 4D 40 58 89 85 6C 05 00 00 5B 03 D8 59 89 8D 5C 03 00 00 58 3E 89 45 56 8A 5D E8 80 FB 00 61 0F 84 18 08 00 00
注意最后一句要修改成程序的原入口点的，然后再用LOADPE修改程序的入口点为新入口点，这样就OK了。还可以在最后一句后面任意添加一些代码，这些代码是不会执行的，主要为迷惑软件用的。还可以将跳到入口点的指令放到后面的废代码中间,这样更有迷惑性.
至于花指令是什么意思,你们自己理解,主要是将软件的一些值通过寄存器存储后变化掉,然后再通过寄存器的存储,再重新变回来。（ebp-17）和（ebp-18）是程序入口点的上二位，要确保是00。
版本段例子:
您可能感兴趣的文章:
如您对本文有疑问或者有任何想说的，请 点击进行留言回复，万千网友为您解惑！
网友评论