查看完整版本: 花指令集锦

花指令集锦

【深层】伪装 PEtite 2.2 -> Ian Luck 汇编代码：
============================
伪装代码部分：
============================

mov eax,0040E000
push 004153F3
push dword ptr fs:[0]
mov dword ptr fs:[0],esp
pushfw
pushad
push eax
xor ebx,ebx
pop eax
popad
popfw
pop dword ptr fs:[0]
pop eax
jmp XXXXXXXX   '执行到程序的原有OEP

============================

【深层】伪装 WCRT Library (Visual C++) DLL Method 1 -> Jibz 二进制代码 + 汇编代码：
============================
伪装代码部分：
============================

使用二进制粘贴以下代码：

55 8B EC 83 7D 0C 01 75 41 A1 C0 30 00 10 85 C0 74 0A FF D0 85 C0 75 04 6A FE EB 17 68 0C 30 00 10 68 08 30 00 10 E8 89 00 00 00 85 C0 59 59 74 08 6A FD FF 15 08 20 00 10 68 04 30 00 10 68 00 30 00 10 E8 52 00 00 00 59 59

粘贴完毕后，再添加2行汇编语句：

jmp XXXXXXXX   '执行到程序的原有OEP
retn 0C

1。伪装 vc

VC++程序的入口代码:
PUSH EBP           
MOV EBP,ESP         
PUSH -1           
push 415448       -\___
PUSH 4021A8       -/   在这段代码中类似这样的操作数可以乱填   
MOV EAX,DWORD PTR FS:[0]     
PUSH EAX           
MOV DWORD PTR FS:[0],ESP     
ADD ESP,-6C         
PUSH EBX           
PUSH ESI           
PUSH EDI   
ADD BYTE PTR DS:[EAX],AL   /这条指令可以不要!
jmp 跳转到程序原来的入口点

******************************************************************************************

2。跳转

somewhere:      
nop       /"胡乱"跳转的开始...
jmp 下一个jmp的地址   /在附近随意跳
jmp ...     /...
jmp 原入口的地址   /跳到原始oep

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
新入口: push ebp
mov ebp,esp
inc ecx
push edx
nop
pop edx
dec ecx
pop ebp
inc ecx
loop somewhere   /跳转到上面那段代码地址去！


3. 伪装 C
融合
把A的代码换成B的
push ebp
mov ebp,esp
push -1
push 111111
push 222222
mov eax,fs:[0]
push eax
mov fs:[0],esp
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 老入口

4. c ++
push ebp
mov ebp,esp
push -1
push 111111
push 222222
mov eax,fs:[0]
push eax
mov fs:[0],esp
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax


5.Microsoft Visual C++ 6.0
PUSH -1
PUSH 0
PUSH 0
MOV EAX,DWORD PTR FS:[0]
PUSH EAX
MOV DWORD PTR FS:[0],ESP
SUB ESP,68
PUSH EBX
PUSH ESI
PUSH EDI
POP EAX
POP EAX
POP EAX
ADD ESP,68
POP EAX
MOV DWORD PTR FS:[0],EAX
POP EAX
POP EAX
POP EAX
POP EAX
MOV EBP,EAX
JMP 原入口

6.
在mov ebp,eax
后面加上
PUSH EAX
POP EAX

7:
防杀精灵一号防杀代码:
push ebp
mov ebp,esp
push -1
push 666666
push 888888
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
pop eax
mov dword ptr fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 入口

8:
防杀精灵二号防杀代码:
push ebp
mov ebp,esp
push -1
push 0
push 0
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
sub esp,68
push ebx
push esi
push edi
pop eax
pop eax
pop eax
add esp,68
pop eax
mov dword ptr fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 入口

9.
防杀精灵终极防杀代码
push ebp
mov ebp,esp
add esp,-0C
add esp,0C
push eax
jmp入口

10:
木马彩衣(金色鱼锦衣)花代码
push ebp
mov ebp,esp
add esp,-0C
add esp,0C
mov eax,原入口
push eax
retn

11:
木马彩衣(虾米披风)花代码
push ebp
nop
nop
mov ebp,esp
inc ecx
nop
push edx
nop
nop
pop edx
nop
pop ebp
inc ecx
loopd /跳转到下面那段代码地址去！
<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
nop       /"胡乱"跳转的开始...
jmp 下一个jmp的地址   /在附近随意跳
jmp ...     /...
jmp 原入口的地址   /跳到原始oep

12.
VC++5.0代码(木马彩衣无限复活袍):
PUSH EBP               
MOV EBP,ESP            
PUSH -1               
push 415448         -\___
PUSH 4021A8         -/   在这段代码中类似这样的操作数可以乱填     
MOV EAX,DWORD PTR FS:[0]      
PUSH EAX               
MOV DWORD PTR FS:[0],ESP      
ADD ESP,-6C            
PUSH EBX               
PUSH ESI               
PUSH EDI   
ADD BYTE PTR DS:[EAX],AL   /这条指令可以不要!
jo 00401000       /原入口
jno 00401000       /原入口
db 0e8h         /花代码



大家看看是否好用

push ebp
nop
nop
nop
mov ebp,esp
inc ecx
nop
push edx
nop
nop
pop edx
nop
nop
pop ebp
inc ecx
loopd /跳转到原入口地址去！



看看不用nop的

cmp eax,ebx
je L
jne L
L:
push 原来入口
pop eax
jmp eax

汗 `````不懂``

…… 也就你看完回帖！

花还是现做现编的好!

恩...再详细点嘛

谢谢啊  看懂了



我得BLOG:[url]http://lee.oczone.cn[/url]

公布了 意味着 死刑

这样公开的好像都无多大用处吧...

菜鸟啊菜鸟...完全不懂..还要多多学习

16进制的还可以，2进制的就不行了

16进制的还可以，2进制的就不行了