简单说明一下原理
这个壳大部分的主要代码全部是一行一行的调入当前堆栈覆盖运行,内存中无完整多行的执行代码,晚上改这个版本花了不少调试BUG的精力,大家最好能看看  :)

关于很多人说以前版本不能运行的问题,初步的测试分析是 CreateFile检查出可疑驱动自动关闭的结果

kme组装版?

xp sp2 dep功能打开也能执行呀，难道是我理解有误?

这项功能没有什么多大的用处

看看，好多CC:D
我猜得没错的话，代码没有经过处理存储，所以...;)猜测而已，猜得不一定正确

呵呵 不是kme  自己编写的
push data
push data
call esp
这样的模式

onlyu真有精力画画...

有dep也可以这样？

最初由 forgot 发布
onlyu真有精力画画...

有dep也可以这样？

Only you~``````` :D

仔细，看了一下，明白了一些东西:o

嘿嘿  下面是部分的代码,通过堆栈一行一行的去执行代码

                push        000000000h
                push        008c2abf3h
                call        esp                ;                rep stosd
                push        000000000h
                push        008c2db33h
                call        esp                ;                xor     ebx, ebx                                 
                push        000000000h
                push        00cc20000h
                push        00200c6c7h
                call        esp                ;                mov     esi, 200h
                push        00004c2abh
                call        esp                ;                stosd

小样上楼顶了啊，偶也借光在楼顶站一会儿

有精力的用我这个当普通壳继续脱下去吧

附件:ov.rar

楼上更变态，小小记事本在我的OD里面忽略全部异常5分钟也没运行出来，这么个加壳法，怎么脱出来？ :(

heXer 真牛...   NND 看来程序还得改改

看大牛们在这里讨论，我都插不上嘴。学习ing..

太多牛,
牛见牛,牛!!!
光看牛了@@@
壳不用看了!!!
学习ing!!!

受不了！！！

建议经过一定的加密

最初由 heXer 发布
小样上楼顶了啊，偶也借光在楼顶站一会儿

有精力的用我这个当普通壳继续脱下去吧

==============
好是好
就是不能在xp sp1下运行

见过几位BT狂

loveboom回来了?