首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 软件逆向
    3. 发新帖
[求助]关于pe导入表免杀
2010-8-13 22:07 7861

[求助]关于pe导入表免杀

Sportsboy 活跃值
2010-8-13 22:07
7861
卡巴杀导入表，两字节地址指向kernel32.dll字符串就杀，而修改这两字节指向的字符串（不是kernel32.dll）就不杀，但是这两字节必须指向kernel32.dll字符串。。这种情况该怎么免杀，请高手指点。。。谢谢

[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界

收藏
点赞・0
打赏
分享
最新回复 (5)
achillis
雪    币： 7651
活跃值： (493)
能力值： ( LV9，RANK：610 )
在线值：
发帖
回帖
粉丝
私信
achillis 15 2010-8-13 22:41
2 楼
0
出来混的，要啥导入表~
一坨shellcode足矣~
kanghtta
雪    币： 418
活跃值： (77)
能力值： ( LV13，RANK：500 )
在线值：
发帖
回帖
粉丝
私信
kanghtta 12 2010-8-13 23:07
3 楼
0
自己加载导入表中的函数。。
    可以用shellcode 定位到loadlibrary getprocaddress  的函数地址后，，自己动态加载你需要的函数。。
   这样导入表对你来说可有可无。。
笨l笨
雪    币： 224
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
笨l笨 2010-8-15 15:24
4 楼
0
这叫做动态加载函数，调用加载后的地址，或烂点动态加载函数后，用新地址改写导入表地址！！就是麻烦了！！
yugangyi
雪    币： 127
活跃值： (40)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
yugangyi 2 2010-12-17 01:30
5 楼
0
就为了你这“一坨一坨”的东西来标记一下
Greater
雪    币： 13
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
Greater 2010-12-17 16:39
6 楼
0
这跎问题 不好做啦
不过你应该重新定位
一般是不会定位到上面的位置的
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回