|
|
|---|---|
|
|
|
|
|
|
|
|
看到一个程序用EPO，在感染计算器时不会被查，但在感染画图程序时，被360和小红伞报了。我觉得可能原因是画图程序中patch的是第一个调用的地方。杀毒软件对patch的检查一个是ExitProcess()这种常用的应该会查，还有应该就是如果你patch的是一开始的调用。
至于可能patch的程序压根没执行到，这的确是个问题。个人想法是根据IAT，patch某个函数。对该程序所有调用到该函数的地方都做相应的patch。这样大多数情况下应该都可以被执行到的。为了避免多次执行，在patch的code中做相应处理应该就好了。 我现在还没有写过相应的代码，显然ExitProcess()这种patch应该是比较稳妥的。但不知道杀软查杀的情况。感谢pencil兄的讨论 
|
|
|
个人觉得在代码段中跳到其他段去执行，应该不大正常吧？误杀率我还不大清楚。。。
 X门有试过么？ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
没怎么研究病毒,大家继续讨论,,顺便学西
|
|
|
|
|
|
|
