|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
多谢分享。。期待更多...fuzzzzzzzzzzzzzzzzzzzzzzzzz
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
BinCAT出来的时候，就喜欢上作IDA的污点分析 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
如果是一般动态调试的话，用内存断点之类的方法，可以一路跟踪0x2B6A处的内容在内存中的转移，然后一直到那条指令那里。 污点分析的话，ReadFile之后，把相对于原文件偏移为0x2B6A处的那个字节，标记为污点数据，然后一路传播，其实也就相当于离线内存断点了，收集得到受影响的指令，添加到一个列表里。然后那个指令列表里面，出现了那条rep mov指令。 大概就是这么个流程。 |
|
|
|
|
|
感谢大神回复，感觉是事先已经确定好0x2b6a偏移再去手工分析或者污点分析的？而不是污点分析跑出来之后确认的0x2b6a？ |
|
|
不需要事先确定好啊。 我那个样本也是随便用word生成的，是哪个字节我也不知道。。。 按顺序，把每一个字节都检查一遍就好了。。。（实际上是用程序自动检查的，不过我这里为了演示，人工检查而已 当然了，就是比较吃cpu资源 |
Angelxf
ktkitty
