-
-
[原创]恶意代码分析-进程镂空 xor解密
-
发表于: 2026-10-7 12:35
-
此样本来自《恶意代码分析实战》第12章的实验练习一
主函数:
获取svchost.exe所在目录，为后续恶意行为做宿主
这是恶意代码所在位置，位于资源表中，被复制到内存中，首先检查DOS头是否正确，最后对其循环进行解密
可以看到是一个很简单的xor解密 密钥为0x41
接下来是sub_4010EA函数的分析，里面包含整个恶意代码的注入流程，分别传入了svchost目录以及申请内存并解密出来的shellcode代码
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
