-
-
带参数的小花
-
发表于:
2005-9-16 10:20
7765
-
site:www.ptteam.com
by 来自轻院的狼[Immlep]
为了使小花不容易被人清除，所以我在自己写的壳中设计了一些带参数的小花，其实就是使用宏功能。
这样做出来的小花的长度就不一定的，而且中间一些无用的代码也是可变的，下面的是一个简单的例子，小花样本是在simonzh2000兄的壳中抄来的(想到使用这个方法来写小花的也是simonzh2000壳中的小花给我的思路，在此谢谢simonzh2000兄)。
;我把这些无用的代码做成列表，我做了很多这样的代码（最主要的是能抗分析，你带入后用ollydbg自带的分析功能看看效果）。
PC1_9 equ 050h
PC2_1 equ 0EBh,01h
PC2_2 equ 074h,027h
PC2_3 equ 072h,06h
PC2_4 equ 0EBh,032h
PC2_5 equ 0Fh,080h
jc003 MACRO X,Y,Z,C
;X,Y ，C为任意长度的OPcode
;Z为X、Y的长度的和
;
JMP ＄+(019h+5*C) ;2 ;L031
db X
db Y
;L008:
JMP ＄+3
db 075h
;POP ECX ;1
JMP @F ;2
db X
POP ECX ;1
db Y ;1
;SM_1:
POP ECX ;1
JE ＄-(7+C) ;2 L008
JMP ＄+(2+C) ;2 L021
db X
db Y
;L021:
JNZ ＄-(0BH+2*C) ;2 L008
db Y
db X
;L023:
POP ECX ;1
PUSHFD ;1
ADD ECX, -(01AH+3*C) ;6
JMP ＄+(2+C) ;2 L028
db Y
db X
;L028:
POPFD ;1
JMP ECX ;2 jmp SM_1
;L031:
PUSH ECX ;1
db 0EBh,01
db 0EBh
CALL ＄-(0Eh+C) ;L023 ;5
db Y
db X
db Z
@@:
endm
在masm中我们这样调用:
jc003 PC2_2，PC1_9，PC1_9 3
当然上面的小花只不过是一个例子，做出来的效果还不是很理想，我只不过是提一个思路，其实很多东西还可以变通，
一个好的小花要抗清除，抗分析，还要会动，如果大家有什么心得不妨说来交流交流，谢谢！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
