第二步:decrypted crypted code
转到00416D8E,type in
00416D8E 60 PUSHAD
00416D8F BF 00104000 MOV EDI,PESpin.00401000
00416D94 B9 70B10000 MOV ECX,0B170
00416D99 B0 9C MOV AL,9C
00416D9B F2:AE REPNE SCAS BYTE PTR ES:[EDI]
00416D9D 75 6C JNZ SHORT PESpin.00416E0B ;跳转表示第一种crypted code搞定啦
00416D9F 803F 60 CMP BYTE PTR DS:[EDI],60
00416DA2 ^75 F5 JNZ SHORT PESpin.00416D99
00416DA4 66:817F 23 619D CMP WORD PTR DS:[EDI+23],9D61
00416DAA ^75 ED JNZ SHORT PESpin.00416D99
00416DAC 4F DEC EDI
00416DAD 41 INC ECX
00416DAE 8D77 02 LEA ESI,DWORD PTR DS:[EDI+2]
00416DB1 51 PUSH ECX
00416DB2 57 PUSH EDI
00416DB3 C647 1C C3 MOV BYTE PTR DS:[EDI+1C],0C3
00416DB7 FFD6 CALL ESI
00416DB9 E8 08000000 CALL PESpin.00416DC6
00416DBE 5F POP EDI
00416DBF 59 POP ECX
00416DC0 ^EB D7 JMP SHORT PESpin.00416D99
00416DC2 CC INT3
00416DC3 CC INT3
00416DC4 CC INT3
00416DC5 CC INT3
00416DC6 81EF 512738D9 SUB EDI,D9382751
00416DCC 87D9 XCHG ECX,EBX
00416DCE B9 26000000 MOV ECX,26
00416DD3 B0 90 MOV AL,90
00416DD5 FC CLD
00416DD6 F3:AA REP STOS BYTE PTR ES:[EDI]
00416DD8 87D9 XCHG ECX,EBX
00416DDA 8A07 MOV AL,BYTE PTR DS:[EDI]
00416DDC FEC8 DEC AL
00416DDE C0C8 D1 ROR AL,0D1
00416DE1 C0C8 D7 ROR AL,0D7
00416DE4 FEC8 DEC AL
00416DE6 04 4E ADD AL,4E
00416DE8 32C1 XOR AL,CL
00416DEA C0C8 0F ROR AL,0F
00416DED FEC8 DEC AL
00416DEF 02C1 ADD AL,CL
00416DF1 AA STOS BYTE PTR ES:[EDI]
00416DF2 49 DEC ECX
00416DF3 ^75 E5 JNZ SHORT PESpin.00416DDA
00416DF5 66:813F EB0B CMP WORD PTR DS:[EDI],0BEB
00416DFA 75 0D JNZ SHORT PESpin.00416E09
00416DFC 66:817F 2E EB05 CMP WORD PTR DS:[EDI+2E],5EB
00416E02 75 05 JNZ SHORT PESpin.00416E09
00416E04 C647 01 33 MOV BYTE PTR DS:[EDI+1],33
00416E08 C3 RETN
00416E09 CC INT3
00416E0A CC INT3
00416E0B BF 00104000 MOV EDI,PESpin.00401000 ;这里开始解第二种crypted code
00416E10 B9 70B10000 MOV ECX,0B170
00416E15 B0 FF MOV AL,0FF
00416E17 F2:AE REPNE SCAS BYTE PTR ES:[EDI]
00416E19 75 5C JNZ SHORT PESpin.00416E77 ;跳转表示第二种crypted code搞定啦
00416E1B 803F 15 CMP BYTE PTR DS:[EDI],15
00416E1E ^75 F5 JNZ SHORT PESpin.00416E15
00416E20 8B57 01 MOV EDX,DWORD PTR DS:[EDI+1]
00416E23 81FA 3E554100 CMP EDX,PESpin.0041553E
00416E29 ^75 EA JNZ SHORT PESpin.00416E15
00416E2B 57 PUSH EDI
00416E2C 51 PUSH ECX
00416E2D 8B4F 05 MOV ECX,DWORD PTR DS:[EDI+5]
00416E30 81E9 D46AE877 SUB ECX,77E86AD4
00416E36 83C7 09 ADD EDI,9
00416E39 E8 14000000 CALL PESpin.00416E52
00416E3E E8 2A000000 CALL PESpin.00416E6D
00416E43 59 POP ECX
00416E44 5F POP EDI
00416E45 4F DEC EDI
00416E46 83E9 09 SUB ECX,9
00416E49 E8 1F000000 CALL PESpin.00416E6D
00416E4E ^EB C5 JMP SHORT PESpin.00416E15
00416E50 CC INT3
00416E51 CC INT3
00416E52 8A07 MOV AL,BYTE PTR DS:[EDI]
00416E54 C0C8 42 ROR AL,42
00416E57 04 D0 ADD AL,0D0
00416E59 02C1 ADD AL,CL
00416E5B FEC8 DEC AL
00416E5D 04 09 ADD AL,9
00416E5F FEC8 DEC AL
00416E61 34 2C XOR AL,2C
00416E63 C0C0 DA ROL AL,0DA
00416E66 FEC8 DEC AL
00416E68 AA STOS BYTE PTR ES:[EDI]
00416E69 49 DEC ECX
00416E6A ^75 E6 JNZ SHORT PESpin.00416E52
00416E6C C3 RETN
00416E6D 51 PUSH ECX
00416E6E 6A 0A PUSH 0A
00416E70 59 POP ECX
00416E71 B0 90 MOV AL,90
00416E73 F3:AA REP STOS BYTE PTR ES:[EDI]
00416E75 59 POP ECX
00416E76 C3 RETN
00416E77 CC INT3
00416E78 CC INT3
下一篇发新帖了