首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
关于特征码 <汇编语言>
发表于: 2006-7-10 22:42 5699

关于特征码 <汇编语言>

西门帅 活跃值
2006-7-10 22:42
5699
1000171D >/$ 55             PUSH EBP
1000171E  |. 8BEC           MOV EBP,ESP
10001720  |. 837D 0C 01     CMP DWORD PTR SS:[EBP+C],1
10001724  |. 75 1A          JNZ SHORT 111.10001740
10001726  |. 68 5D280010    PUSH 111.1000285D                        ; /pThreadId = 111.1000285D
1000172B  |. 6A 00          PUSH 0                                   ; |CreationFlags = 0
1000172D  |. 6A 00          PUSH 0                                   ; |pThreadParm = NULL
1000172F  |. 68 0E150010    PUSH 111.1000150E                        ; |ThreadFunction = 111.1000150E
10001734  |. 68 E8030000    PUSH 3E8  //3E8特征代码                  ; |StackSize = 3E8 (1000.)
10001739  |. 6A 00          PUSH 0                                   ; |pSecurity = NULL
1000173B  |. E8 10000000    CALL <JMP.&kernel32.CreateThread>        ; \CreateThread
10001740  |> C9             LEAVE
10001741  \. C2 0C00        RETN 0C
10001744   $-FF25 3C300010  JMP DWORD PTR DS:[<&kernel32.CloseHandle>;  kernel32.CloseHandle
1000174A   $-FF25 04300010  JMP DWORD PTR DS:[<&kernel32.CreateFileA>;  kernel32.CreateFileA
10001750   $-FF25 08300010  JMP DWORD PTR DS:[<&kernel32.CreateThrea>;  kernel32.CreateThread
10001756   $-FF25 0C300010  JMP DWORD PTR DS:[<&kernel32.DeleteFileA>;  kernel32.DeleteFileA

这是一个黑客软件的111.dll文件的定位出来的病毒特征代码 谁能帮忙看下如何修改（在不改变正常运行的情况下）
PUSH 3E8
3E8是特征代码 请问这该如何修改呢 ？ 3E8是什么意思 ？

本人才涉及计算机语言不久 不知道发这个是不是违反本版规定 如果违反请老大直接删除
对于汇编还没真正入门 希望哪位大哥指点一二 学习一下 万分感谢~~

[课程]Android-CTF解题方法汇总！

收藏
免费 ・0
支持
分享
最新回复 (10)
西门帅
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
尝试把3E8改成3E9或者3E7这样 就不被查杀了 可是无法正常运行了.....

晕呀
2006-7-10 22:45
0
sbright
雪    币： 146
活跃值： (33)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
3 楼
跳下,数据一般不改的
1push
2...
改为
1jmp 3
3push
jmp 2
或着直接加themdia免杀......让杀软盯上它 要不动不动就加个themdia,苦死我们菜菜啦.
2006-7-10 23:15
0
ellison
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
改得眼花了
1000172B到1000173A的十六进制的东西改一下
原来的是：
6A006A00680E15001068E80300006A00
改为：                  
6800000E15680010E8036A006A006A00
改后，对应的汇编代码是：
push 15E
push 3E81000
push 0
push 0
push 0

看看这样行?
2006-7-10 23:51
0
爱一个人好难
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
最初由 sbright 发布
跳下,数据一般不改的
1push
2...
改为
1jmp 3
........


2006-7-11 00:46
0
sbright
雪    币： 146
活跃值： (33)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
6 楼
最初由 爱一个人好难 发布

?错啦？说下？
2006-7-11 02:48
0
西门帅
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
最初由 ellison 发布
改得眼花了
1000172B到1000173A的十六进制的东西改一下
原来的是：
6A006A00680E15001068E80300006A00
改为：
........


不行,改后运行出错....
2006-7-11 12:35
0
西门帅
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
谢谢楼上几位 不过我现在已经找到修改的方法了....

10001726  |. 68 5D280010    PUSH 111.1000285D     
改
10001726  |. 68 5C280010    PUSH 111.1000285C     

1000285D和1000285C这个地址下都是 00 00 00 我想应该是临时存放什么的吧

改后达到了免杀 正常运行....

嘿嘿~ 不过还是希望谁有更该的办法提供下..
2006-7-11 12:39
0
ellison
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
.....
俺又错了...
2006-7-11 13:30
0
naitai
雪    币： 206
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
跳到空白的地方执行，在跳回．
2006-7-12 21:11
0
zhuwg
雪    币： 451
活跃值： (78)
能力值： ( LV12，RANK：470 )
在线值：
发帖
回帖
粉丝
私信
11 楼
找快空地方
jmp过去..
nop
nop
jmp回来
2006-7-13 10:19
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//