-
-
[求助]请教一下如何对付这种反-反汇编技巧
-
发表于: 2021-8-8 12:19
-
一个可疑 rootkit 样本
样本地址：775K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6$3q4Q4x3X3g2D9j5h3&6*7L8%4g2A6i4K6u0W2j5$3!0E0i4K6u0r3K9f1b7K6M7@1q4K6k6o6g2J5M7X3p5`.
密码：infected
VT：
本人业余爱好者，试着自己用 IDA 分析，遇到了这种情况
显然栈顶（返回地址）被改了
IDA报了一大堆 sp analysis failed
曾经看到一些资料把这种技巧称为 return pointer abuse，但给出的例子都很简单，解决方法不能套用
试过把call patch成jmp loc_1400A0A97，没什么用，也可能是我patch的姿势不对
请问这种情况怎么处理？
由于我不会驱动调试，虚拟机也比较卡（电脑不行），解决方法最好是静态的
谢谢各位大佬！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
hzqst
