-
-
[讨论]反逆向学习(3)
-
2008-9-6 00:10
-
我认为第三题难了,不知你感觉怎样,做做看看
在没做之前运行看看,下面的代码得到的结果几乎
和icesword列出的内核模块一样.其实//...后面的代码可以改成你任意想加密的代码
我之所以用这代码,只是让大家有兴趣点,icesword也不简单啊!至少不至于做的老是MessagegBoxA
#include <windows.h>
#include <stdio.h>
typedef struct _SYSTEM_MODULE_INFORMATION
{
ULONG haras0[2]; //00
PVOID ImageBase; //08
ULONG ImageSize; //12
ULONG Flags; //16
USHORT haras1; //20
USHORT haras2; //22
USHORT haras3; //24
USHORT OffsetToFileName; //26
CHAR FullPathName[256]; //28
}SYSTEM_MODULE_INFORMATION,*PSYSTEM_MODULE_INFORMATION; //284
typedef unsigned long (_stdcall* ZWQUERYSYSTEMINFORMATION)(int SystemInformationClass,
PVOID SystemInformation,ULONG SystemInformationLength,PULONG ReturnLength);
void main()
{
//...在这里添加代码,让IDA打开后在main函数中看不到多少反汇编代码
//你也可以在main函数中别的地方添加,不一定要在开头这里,只要不超出main就可以了
HMODULE Mod_Ntdll=GetModuleHandle("ntdll.dll");
ZWQUERYSYSTEMINFORMATION ZwQuerySystemInformation=
(ZWQUERYSYSTEMINFORMATION )GetProcAddress(Mod_Ntdll,"ZwQuerySystemInformation");
unsigned long Length;
ZwQuerySystemInformation(11,0,0,&Length);
void* buffer =malloc(Length);
ZwQuerySystemInformation(11,buffer,Length,0);
PSYSTEM_MODULE_INFORMATION Module_Info =(PSYSTEM_MODULE_INFORMATION)((PULONG)buffer + 1);
for(unsigned long i = 0;i<*((PULONG)buffer);i++)
{
printf("0x%x %s\n",Module_Info[i].ImageBase,Module_Info[i].FullPathName);
}
}
你可以用任何方法,加花,opcode,脚本...只要不让出现太多汇编代码就可以
你可以看看加密加壳软件(例PECompact)加密了的EXE用IDA打开后看到的样子,代码视为数据
下面我上传我的图像(vc6.0 release IDA5.2),
差不多像这样,因为我感觉很多加壳软件加密了后IDA打开后看到
的代码视为数据,所以这题也应像这样.
有兴趣的跟帖写上代码
在没做之前运行看看,下面的代码得到的结果几乎
和icesword列出的内核模块一样.其实//...后面的代码可以改成你任意想加密的代码
我之所以用这代码,只是让大家有兴趣点,icesword也不简单啊!至少不至于做的老是MessagegBoxA
#include <windows.h>
#include <stdio.h>
typedef struct _SYSTEM_MODULE_INFORMATION
{
ULONG haras0[2]; //00
PVOID ImageBase; //08
ULONG ImageSize; //12
ULONG Flags; //16
USHORT haras1; //20
USHORT haras2; //22
USHORT haras3; //24
USHORT OffsetToFileName; //26
CHAR FullPathName[256]; //28
}SYSTEM_MODULE_INFORMATION,*PSYSTEM_MODULE_INFORMATION; //284
typedef unsigned long (_stdcall* ZWQUERYSYSTEMINFORMATION)(int SystemInformationClass,
PVOID SystemInformation,ULONG SystemInformationLength,PULONG ReturnLength);
void main()
{
//...在这里添加代码,让IDA打开后在main函数中看不到多少反汇编代码
//你也可以在main函数中别的地方添加,不一定要在开头这里,只要不超出main就可以了
HMODULE Mod_Ntdll=GetModuleHandle("ntdll.dll");
ZWQUERYSYSTEMINFORMATION ZwQuerySystemInformation=
(ZWQUERYSYSTEMINFORMATION )GetProcAddress(Mod_Ntdll,"ZwQuerySystemInformation");
unsigned long Length;
ZwQuerySystemInformation(11,0,0,&Length);
void* buffer =malloc(Length);
ZwQuerySystemInformation(11,buffer,Length,0);
PSYSTEM_MODULE_INFORMATION Module_Info =(PSYSTEM_MODULE_INFORMATION)((PULONG)buffer + 1);
for(unsigned long i = 0;i<*((PULONG)buffer);i++)
{
printf("0x%x %s\n",Module_Info[i].ImageBase,Module_Info[i].FullPathName);
}
}
你可以用任何方法,加花,opcode,脚本...只要不让出现太多汇编代码就可以
你可以看看加密加壳软件(例PECompact)加密了的EXE用IDA打开后看到的样子,代码视为数据
下面我上传我的图像(vc6.0 release IDA5.2),
差不多像这样,因为我感觉很多加壳软件加密了后IDA打开后看到
的代码视为数据,所以这题也应像这样.
有兴趣的跟帖写上代码
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
用CV加下就行了.至于其他的....
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
