能力值:
( LV2,RANK:10 )
|
-
-
276 楼
跟过里面的确实恐怖
|
能力值:
( LV2,RANK:10 )
|
-
-
277 楼
|
能力值:
( LV9,RANK:170 )
|
-
-
278 楼
厉害,来晚了
|
能力值:
( LV2,RANK:10 )
|
-
-
279 楼
终于等来这篇文章了,等以后有精力再认真学习,感谢softworm!
|
能力值:
( LV2,RANK:10 )
|
-
-
280 楼
人气这么高!
不支持都不行啊!
|
能力值:
( LV2,RANK:10 )
|
-
-
281 楼
看 不 懂 啊
|
能力值:
( LV2,RANK:10 )
|
-
-
282 楼
先收藏了 谢谢哈
|
能力值:
( LV2,RANK:10 )
|
-
-
283 楼
不懂~~~~~~~~~~`
|
能力值:
( LV4,RANK:50 )
|
-
-
284 楼
VM由6部分组成。下面为注入的tracer(hi shooooJ)对VirtualAlloc的拦截记录(实际分配时会按页对齐)。Dump后补这6个区段就可以了(Virtual Machine Anti-Dumper会导致运行失败)。----------------请教这里是怎么做的?tracer是个工具吗?能详细说一下吗?看到这里就卡住了,
|
能力值:
( LV2,RANK:10 )
|
-
-
285 楼
xuexi ...谢了
|
能力值:
( LV9,RANK:1210 )
|
-
-
286 楼
写段代码注入挂上去就行了,这不是必须的,用OD对VirtualAlloc下硬件执行断点,最开始的6次调用就是为VM分配内存.
今天看了一下新版的VM,有些不同了:
1. VM_Context内大部分的field,offset可变
2. VM代码变形增强了,比较明显的是增加了Execryptor那样的
假跳转,如:
mov bl,imm8
add bl,imm8
...
inc bl
js xxx
要是等于JMP,下面是dead codes
这个js要么等于JMP,要么等于NOP,清理代码难度增加了
代码变形是递归的,前面的mov... 也可能是别的模样,若不能
正确处理,反汇编的结果要乱套
3. 好象还有1种,走分枝的哪条路径是一样的,最终会到同样的
地方.
这玩艺大概就是文档中所说的Multi Branch
|
能力值:
( LV2,RANK:10 )
|
-
-
287 楼
收藏+支持ing
|
能力值:
( LV2,RANK:10 )
|
-
-
288 楼
看这大家对softworm的赞叹都很高兴呀
学习呀
|
能力值:
( LV6,RANK:90 )
|
-
-
289 楼
..............强..............................
|
能力值:
( LV2,RANK:10 )
|
-
-
290 楼
不行了,这个要顶一下,刚好最近要攻坚themida。。。。学习
|
能力值:
( LV2,RANK:10 )
|
-
-
291 楼
楼主是火星人,鉴定完毕
|
能力值:
( LV2,RANK:10 )
|
-
-
292 楼
好东西,收藏咯!谢谢LZ分享
|
能力值:
( LV4,RANK:50 )
|
-
-
293 楼
很强的VM,下来学习。
|
能力值:
( LV2,RANK:10 )
|
-
-
294 楼
这人做的~
真是又好,又强!
|
能力值:
( LV2,RANK:10 )
|
-
-
295 楼
楼主的汇编很强呀。我真的很佩服。哎。一定向楼主学习多动脑子
|
能力值:
( LV2,RANK:10 )
|
-
-
296 楼
既生TMD,何生SoftWorm
|
能力值:
( LV4,RANK:50 )
|
-
-
297 楼
softworm成都的吗?
|
能力值:
( LV2,RANK:10 )
|
-
-
298 楼
真TMD 厉害
|
能力值:
( LV2,RANK:10 )
|
-
-
299 楼
顶一下,看了老兄的东西,长知识哦
|
能力值:
( LV13,RANK:920 )
|
-
-
300 楼
好文,真强,学习了
|
|
|