变形引擎的构建
<YY>
    好久没有更新文章了。今年工作太忙，确实没有时间来发贴。有些朋友问我，专题会不会成为“太监”
按照我耐磨的性格，应该不会。
<目录>
0.哪些部分需要变形?
1.聊一聊花指令的构建
  1.1产生随机寄存器
  1.2产生随机的清0
  1.3产生随机的JMP
  1.4产生异常
  1.5利用MODRM/SIB
2.构建解密头
3.另一种变形
4.又是另一种变形
5.强调些东西
<内容>
0.哪些部分需要变形
壳的变形技术主要来自于病毒。病毒变形主要目的为了躲避杀毒软件的查杀。壳的变形也无非是这个。当然还有
目的是为了延长破解时间。消耗Cracker的精力。
现在我们来看一个经典的变形结构。也确认哪部分是用来变形的
壳加载段
----------
解密头
壳主体被加密的部分
密钥储存
----------
大多数情况下。壳加载器的结构就是这三个部分。解密头对壳主体进行解密后再跳入到壳主体进行运行
这里就可以很明显的看出 壳主体是很容易进行变形的。只要每次加密的密钥不一样最后的队列肯定不一样
现在解密头是固定的。所以这里是最需要进行变形的。
以上这个结构绝对是经典多态的结构。再复杂的变形也是从以上这个简单的结构开始的。下面看一段简单的CODE

call delta
delta:
pop esi
add esi, offset Packet - offset delta
mov edi, esi
mov ecx, offset Decoder - offset Packet
mov eax, esi
add eax, offset Decoder - offset Packet
mov bl, byte ptr [eax]
@@:
lodsb
xor al, bl
stosb
loop @B
;; 这里解密后直接进去壳主体
Packet:
;........壳主体
Decoder:
db 099h

const DWORD Registry_Eax = 0x00;
const DWORD Registry_Ecx = 0x01;
const DWORD Registry_Edx = 0x02;
const DWORD Registry_Ebx = 0x03;
const DWORD Registry_Esp = 0x04;
const DWORD Registry_Ebp = 0x05;
const DWORD Registry_Esi = 0x06;
const DWORD Registry_Edi = 0x07;
const DWORD Registry_MaxCount = 0x08;
while (bR0 == Registry_Esp) bR0 = (BYTE)(lrand() % Registry_MaxCount);
// bR0是选取的寄存器,lrand是随机函数

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课