首页
社区
课程
招聘
[分享]一段花指令
发表于: 2008-3-11 15:57 5367

[分享]一段花指令

2008-3-11 15:57
5367
#include "stdafx.h"

int main(int argc, char* argv[])
{
       
        _asm
        {
                lea eax,combojiang
combojiang:
                add eax,0eh
                _emit 0xeb
                _emit 0x05
                _emit 0xeb
                _emit 0xf3
                _emit 0xdb
                _emit 0x30
                _emit 0x57
                jmp eax
                _emit 0xe9
                _emit 0x21
        }
        printf("Hello World!\n");
        return 0;
}

这段花指令来自于icesword驱动中,在里面有不少这样的花指令。

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
花花  花花
2008-3-11 16:32
0
雪    币: 709
活跃值: (2420)
能力值: ( LV12,RANK:1010 )
在线值:
发帖
回帖
粉丝
3
不懂,学习
2008-3-11 16:48
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
不错,学习!!
2008-3-11 17:06
0
雪    币: 6075
活跃值: (2236)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
5
还是看看Krypton的那个吧
2008-3-11 17:23
0
雪    币: 517
活跃值: (84)
能力值: ( LV12,RANK:250 )
在线值:
发帖
回帖
粉丝
6
.text:10003368 60                                pusha
.text:10003368
.text:10003369
.text:10003369                   loc_10003369:
.text:10003369 8D 05 6F 33 00 10                 lea     eax, loc_1000336F
.text:10003369
.text:1000336F
.text:1000336F                   loc_1000336F:
.text:1000336F 83 C0 0E                          add     eax, 0Eh
.text:10003372 EB 05                             jmp     short loc_10003379
.text:10003372
.text:10003374                   ; ---------------------------------------------------------------------------
.text:10003374 EB F3                             jmp     short loc_10003369
.text:10003374
.text:10003374                   ; ---------------------------------------------------------------------------
.text:10003376 DB 30                             dw 30DBh
.text:10003378                   ; ---------------------------------------------------------------------------
.text:10003378 57                                push    edi
.text:10003378
.text:10003379
.text:10003379                   loc_10003379:
.text:10003379 FF E0                             jmp     eax
.text:10003379
.text:10003379                   tst             endp
.text:10003379
.text:10003379                   ; ---------------------------------------------------------------------------
.text:1000337B E9                                db 0E9h
.text:1000337C 21                                db 21h
.text:1000337D                   ; ---------------------------------------------------------------------------
.text:1000337D 61                                popa

使用了明显的jmp跳,还是很简单的,只不过用 jmp reg跳转寄存器来阻止反汇编器的分析。跳转过程还是很明显的。不用跟踪,直接IDA就出来了。这是常用的花指令形式。
2008-3-12 16:03
0
雪    币: 134
活跃值: (157)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
呵呵,有意思
2008-3-13 14:54
0
游客
登录 | 注册 方可回帖
返回
//