急求：全等四边形的判定ABCD全等于A'B'C'D'，而且AB:BC:CD:DA=1：1/2：2/3：2，若全等四边形的判定A'B'C'D'
点击联系发帖人
时间：2012-05-10 11:17
转贴:如图,所有棱长都为2的正三棱柱BCD-B′C′D′,四边形ABCD是..._油田三高吧_百度贴吧
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&签到排名：今日本吧第个签到，本吧因你更精彩，明天继续来努力！
本吧签到人数：0成为超级会员，使用一键签到本月漏签0次！成为超级会员，赠送8张补签卡连续签到：天&&累计签到：天超级会员单次开通12个月以上，赠送连续签到卡3张
关注：7,202贴子：
转贴:如图,所有棱长都为2的正三棱柱BCD-B′C′D′,四边形ABCD是...收藏
一道立体几何题……试试看吧～如图,所有棱长都为2的正三棱柱BCD-B′C′D′,四边形ABCD是菱形,其中E为BD的中点.(1)求证:C′E‖面AB′D′;(2)求面AB'D'与面ABD所成锐二面角的余弦值;(3)求四棱锥B'-ABCD与D-高三数学-魔方格来自：
毕业季，你准备好了吗？
爱之光束！（*＾０）ノ♡+*+♡+*+♡+* --来自助手版贴吧客户端
亲，我实在是不想把答案复制粘贴了，一个链接解决所有
楼主小学毕业了吗？
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
登录百度帐号推荐应用
为兴趣而生，贴吧更懂你。或yoda's cryptor 壳流程分析
作 者: qinxijp代码:这里是一开始壳的加密算法～～,非常简单算法分析: //可逆算法,加密算法 char pMem[] = {0x8B,0x44}; int nSize = 0x0c23 ; //加密的算法 __asm { mov ecx,0x0c23 lea edi...
作 者: qinxijp代码:&这里是一开始壳的加密算法～～,非常简单算法分析: //可逆算法,加密算法& char pMem[] = {0x8B,0x44};& int nSize = 0x0c23 ;& //加密的算法&&& __asm&&& {&&&&& mov ecx,0x0c23&&&&& lea edi,pMem&&&&& mov esi,ediLol1:&&&&& _emit 0xAC&&&&& xor al,0x3a&&&&& add al,cl&&&&& inc al&&&&& xor al,0x33&&&&& xor al,0x1d&&&&& xor al,0x97&&&&& add al,0xf4&&&&& add al,cl&&&&& rol al,0x6f&&&&& add al,cl&&&&& sub al,0x2b&&&&& inc al&&&&& xor al,0x58&&&&& __emit 0xAA&& // stos byte ptre [edi]&&&&& //&&& //& loop Lol1:&&&&&&&& }& //解密的算法&&& __asm&&& {&&&&&&& mov ecx,nSize&&&&&&& lea edi,pMem&&&&&&&& mov esi,ediLop:&&&&& __emit 0xAC& // Lodsb byte ptr [esi]&&&&&&&&&&&&&& xor al,0x58&&&&&&& dec al&&&&&&& add al,0x2b&&&&&&& sub al,cl&&&&&&& ror al,0x6f&&&&&&& sub al,cl&&&&&&& sub al,0xf4&&&&&&& xor al,0x97&&&&&&& xor al,0x1d&&&&&&& xor al,0x33&&&&&&& dec al&&&&&&& sub al,cl&&&&&&& Xor al,0x3a&&&&&&& __emit 0xAA&& // stos byte ptre [edi]&&&&&&&End:&&&&& Loop lop&&&&&&&&&& }&&&&& 6A FF&&&&&&&&&& push&&& -1&&& 68 2A2C0A00&&&& push&&& 0A2C2A&&&&&&&& ; 这个 注意0058F06A&&& 68 38900D00&&&& push&&& 0D9038&&&&&&& ; 注意0058F06F&&& 64:A1 & mov&&&& eax, dword ptr fs:[0]&&& 50&&&&&&&&&&&&& push&&& eax&&& 64:&mov&&&& dword ptr fs:[0], esp0058F07D&&& 58&&&&&&&&&&&&& pop&&&& eax0058F07E&&& 64:A3 & mov&&&& dword ptr fs:[0], eax&&& 58&&&&&&&&&&&&& pop&&&& eax&&& EB 0B&&&&&&&&&& jmp&&&& short &&; //以上代码伪造VC入口点&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08A&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08B&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08C&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08D&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08E&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08F&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 90&&&&&&&&&&&&& nop&&& 90&&&&&&&&&&&&& nop&&& 60&&&&&&&&&&&&& pushad&&& E8 &&&& call&& &&&&&& ; 代码重定位&&& 5D&&&&&&&&&&&&& pop&&&& ebp&&& 81ED 89172A07&& sub&&&& ebp, 72A17890058F09F&&& B9 230C0000&&&& mov&&&& ecx, 0C23&&& 8DBD D1172A07&& lea&&&& edi, dword ptr [ebp+72A17D1]0058F0AA&&& 8BF7&&&&&&&&&&& mov&&&& esi, edi0058F0AC&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]0058F0AD&&& EB 01&&&&&&&&&& jmp&&&& short &&&&& ; 看opcode 为eb 01 也跳到eip+当前指令长度+1的位置,把E9这个给改成NOP0058F0AF& - E9 F890F8F9&&&& jmp&&&& FA5181AC&&& 34 58&&&&&&&&&& xor&&&& al, 58&&& FEC8&&&&&&&&&&& dec&&&& al&&& 04 2B&&&&&&&&&& add&&&& al, 2B0058F0BA&&& 90&&&&&&&&&&&&& nop0058F0BB&&& 2AC1&&&&&&&&&&& sub&&&& al, cl0058F0BD&&& EB 01&&&&&&&&&& jmp&&&& short 0058F0BF&&& C2 F8C0&&&&&&&& retn&&& 0C0F8&&& C8 6F2AC1&&&&&& enter&& 2A6F, 0C1&&& F9&&&&&&&&&&&&& stc&&& 2C F4&&&&&&&&&& sub&&&& al, 0F4&&& 34 97&&&&&&&&&& xor&&&& al, 970058F0CB&&& F9&&&&&&&&&&&&& stc0058F0CC&&& EB 01&& &&&&&&&&jmp&&&& short 0058F0CF0058F0CE&&& C2 341D&&&&&&&& retn&&& 1D34&&& 34 33&&&&&&&&&& xor&&&& al, 33&&& FEC8&&&&&&&&&&& dec&&&& al&&& 2AC1&&&&&&&&&&& sub&&&& al, cl&&& 34 3A&&&&&&&&&& xor&&&& al, 3A&&& EB 01&&&&&&&&&& jmp&&&& short 0058F0DC0058F0DB& - E9 F8AAE2CC&&&& jmp&&&& CD3B9BD8&&& 8B4424 20&&&&&& mov&&&& eax, dword ptr [esp+20]&&&&&&&&& ; 取入口的时候压入的数值&&& 40&&&&&&&&&&&&& inc&&&& eax&&& 78 0A&&&&&&&&&& js&&&&& short &&& C785 7F212A07 0&mov&&&& dword ptr [ebp+72A217F], 1&&& 8D85 51172A07&& lea&&&& eax, dword ptr [ebp+72A1751]&&&& ; 入口点&&& B9 &&&& mov&&&& ecx, 7660058F0FC&&& E8 &&&& call&&& &&&&&&&&&&&&&&&&&&&&&&&& ; 校验&&& A07&& mov&&&& dword ptr [ebp+72A217B], eax&&& 8B85 73212A07&& mov&&&& eax, dword ptr [ebp+72A2173]0058F10D&&& 83E0 01&&&&&&&& and&&&& eax, 1&&& 74 40&&&&&&&&&& je&&&&& short &&& 8DB5 EB222A07&& lea&&&& esi, dword ptr [ebp+72A22EB]&&& 8D85 30182A07&& lea&&&& eax, dword ptr [ebp+72A1830]0058F11E&&& 8946 08&&&&&&&& mov&&&& dword ptr [esi+8], eax&&& 8BFD&&&&&&&&&&& mov&&&& edi, ebp&&& 8D85 09212A07&& lea&&&& eax, dword ptr [ebp+72A2109]&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F12B&&& 50&&&&&&&&&&&&& push&&& eax0058F12C&&& 64:FF33&&&&&&&& push&&& dword ptr fs:[ebx]0058F12F&&& 64:8923&&&&&&&& mov&&&& dword ptr fs:[ebx], esp&&& BD 4B484342&&&& mov&&&& ebp, 4243484B&&& 66:B8 0400&&&&& mov&&&& ax, 40058F13B&&& EB 01&&&&&&&&&& jmp&&&& short 0058F13E0058F13D&&& FFCC&&&&&&&&&&& dec&&&& esp0058F13F&&& 8BEF&&&&&&&&&&& mov&&&& ebp, edi&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx&&& 64:8F03&&&&&&& &pop&&&& dword ptr fs:[ebx]&&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 3C 04&&&&&&&&&& cmp&&&& al, 40058F14B&&& 74 05&&&&&&&&&& je&&&&& short 0058F14D&&& EB 01&&&&&&&&&& jmp&&&& short 0058F14F& - E9 61C38B85&&&& jmp&&&& 85E4B4B5&&& 6B21 2A&&&&&&&& imul&&& esp, dword ptr [ecx], 2A&&& 07&&&&&&&&&&&&& pop&&&& es&&& 0340 3C&&&&&&&& add&&&& eax, dword ptr [eax+3C]&&&&&&&&& ; 定位到NT头0058F15B&&& 05 &&&& add&&&& eax, 80&&&&&&&&&&&&&&&&&&&&&&&&& ; 定位到Directory [输入表]&&& 8B08&&&&&&&&&&& mov&&&& ecx, dword ptr [eax]&&&&&&&&&&&& ; 获取输入表地址&&& 038D 6B212A07&& add&&&& ecx, dword ptr [ebp+72A216B]&&& 83C1 10& &&&&&&&add&&&& ecx, 10&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取FirstThunk0058F16B&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]0058F16D&&& A07&& add&&&& eax, dword ptr [ebp+72A216B]&&& 8B18&&&&&&&&&&& mov&&&& ebx, dword ptr [eax]&&&&&&&&&&&& ; 下面就是获取一些壳需要用到的API&&& 899D F7222A07&& mov&&&& dword ptr [ebp+72A22F7], ebx0058F17B&&& 83C0 04&&&&&&&& add&&&& eax, 40058F17E&&& 8B18&&&&&&&&&&& mov&&&& ebx, dword ptr [eax]&&& 899D FB222A07&& mov&&&& dword ptr [ebp+72A22FB], ebx&&& 8D85 FF222A07&& lea&&&& eax, dword ptr [ebp+72A22FF]0058F18C&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取kernel32极值0058F18D&&& FF95 F7222A07&& call&&& dword ptr [ebp+72A22F7]&&& 8BF0&&&&&&&&&&& mov&&&& esi, eax &&&A07&& mov&&&& dword ptr [ebp+72A230C], eax0058F19B&&& 8D85 10232A07&& lea&&&& eax, dword ptr [ebp+72A2310]&&& E8 C9000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetModuleHandle&&& A07&& mov&&&& dword ptr [ebp+72A2321], eax0058F1AC&&& 8D85 25232A07&& lea&&&& eax, dword ptr [ebp+72A2325]&&& E8 B8000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; VirtualProtect&&& A07&& mov&&&& dword ptr [ebp+72A2334], eax0058F1BD&&& 8D85 38232A07&& lea&&&& eax, dword ptr [ebp+72A2338]&&& E8 A7000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetModuleFileNameA&&& A07&& mov&&&& dword ptr [ebp+72A234B], eax0058F1CE&&& 8D85 4F232A07&& lea&&&& eax, dword ptr [ebp+72A234F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; CreateFileA&&& A07&& mov&&&& dword ptr [ebp+72A235B], eax0058F1DF&&& 8D85 5F232A07&& lea&&&& eax, dword ptr [ebp+72A235F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GlobalAlloc0058F1EA&&& A07&& mov&&&& dword ptr [ebp+72A236B], eax&&& 8D85 6F232A07&& lea&&&& eax, dword ptr [ebp+72A236F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GlobalFree0058F1FB&&& A07&& mov&&&& dword ptr [ebp+72A237A], eax&&& 8D85 7E232A07&& lea&&&& eax, dword ptr [ebp+72A237E]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; ReadFile0058F20C&&& A07&& mov&&&& dword ptr [ebp+72A2387], eax&&& 8D85 8B232A07&& lea&&&& eax, dword ptr [ebp+72A238B]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetFileSize0058F21D&&& A07&& mov&&&& dword ptr [ebp+72A2397], eax&&& 8D85 9B232A07&& lea&&&& eax, dword ptr [ebp+72A239B]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; CloseHandle0058F22E&&& A07&& mov&&&& dword ptr [ebp+72A23A7], eax&&& 8D85 AB232A07&& lea&&&& eax, dword ptr [ebp+72A23AB]0058F23A&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; VirtualAlloc0058F23F&&& A07&& mov&&&& dword ptr [ebp+72A23B8], eax&&& 8D85 D2232A07&& lea&&&& eax, dword ptr [ebp+72A23D2]0058F24B&&& E8 1F000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; ExitProcess&&& 8985 DE232A07&& mov&&&& dword ptr [ebp+72A23DE], eax&&& 8D85 BC232A07&& lea&&&& eax, dword ptr [ebp+72A23BC]0058F25C&&& E8 0E000000&&&& call&&& 0058F26F&&& &&&&&&&&&&&&&&&&&&&&&; ReadProcessMemory&&& 8985 CE232A07&& mov&&&& dword ptr [ebp+72A23CE], eax&&& 8D85 69192A07&& lea&&&& eax, dword ptr [ebp+72A1969]0058F26D&&& 50&&&&&&&&&&&&& push&&& eax0058F26E&&&& C3&&&&&&&&&&&&& retn&& //到下面见&&&&& 64:FF35 3000000&push&&& dword ptr fs:[30]0058F27F&&& 58&&&&&&&&&&&&& pop&&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取peb&&& 85C0&&&&&&&&&&& test&&& eax, eax&&& 78 0F&&&&&&&&&& js&&&&& short &&& 8B40 0C&&&&&&& &mov&&&& eax, dword ptr [eax+C]&&&&&&&&&& ; 获取PEB.Ldr&&& 8B40 0C&&&&&&&& mov&&&& eax, dword ptr [eax+C]&&&&&&&&&& ; 获取Ldr.InLoadOrderModuleList0058F28A&&& 0000&add&&&& dword ptr [eax+20], 3000&&&&&&&& ; 当前进程的镜像大小+ 3000&& 这么操作有什么用呢，，，。。。&&& EB 1C&&&&&&&&&& jmp&&&& short 0058F2AF&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 21232A07&& call&&& dword ptr [ebp+72A2321]0058F29B&&& 85D2&&&&&&&&&&& test&&& edx, edx0058F29D&&& 79 10&&&&&&&&&& jns&&&& short 0058F2AF0058F29F&&& 837A 08 FF&&&&& cmp&&&& dword ptr [edx+8], -1&&& 75 0A&&&&&&&&&& jnz&&&& short 0058F2AF&&& 8B52 04&&&&&&&& mov&&&& edx, dword ptr [edx+4]&&& C742 50 0010000&mov&&&& dword ptr [edx+50], 10000058F2AF&&& E8 0A000000&&&& call&& &0058F2BE&&&&&&&&&&&&&&&&&&&&&&&& ; 这里作者加入了很多反调试F7&&0058F2BE&&& FF95 21232A07&& call&&& dword ptr [ebp+72A2321]&&&&&&&&& ; kernel32.GetModuleHandleA&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&& E3 58&&&&&&&&&& jecxz&& short 0058F31F &&&E8 &&&& call&&& &&& ; F7 反调试&&& 51&&&&&&&&&&&&& push&&& ecx&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; ntdll_12.&ModuleEntryPoint&&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]0058F2EA&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&&&&&&&&&&&&&&&&&&&&&&& ; 获取ZwSetInfomationThread0058F2EB&&& E3 32&&&&&&&&&& jecxz&& short 0058F31F0058F2ED&&& 87CF&&&&&&&&&&& xchg&&& edi, ecx0058F2EF&&& E8 &&&& call&&& & F7进入&&&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]0058F30B&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&& E3 0B&&&&&&&&&& jecxz&& short 0058F31F&&& FFD1&&&&&&&&&&& call&&& ecx&&&&&&&&&&&& &&&&&&&&&&&&&&&&&; GetCurrentThread 获取当前线程&&& 6A 00&&&&&&&&&& push&&& 0&&& 6A 00&&&&&&&&&& push&&& 00058F31A&&& 6A 11&&&&&&&&&& push&&& 11&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 压入ThreadHideFromDebugger标志,使当前线程隐藏,起到反调试的作用0058F31C&&& 50&&&&&&& &&&&&&push&&& eax0058F31D&&& FFD7&&&&&&&&&&& call&&& edi0058F31F&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs&&& 32C9&&&&&&&&&&& xor&&&& cl, cl&&& E3 02&&&&&&&&&& jecxz&& short &&& EB 66&&&&&&&&&& jmp&&&& short 0058F38D& &&EB 14&&&&&&&&&& jmp&&&& short 0058F33D&&& 8B4C24 04&&&&&& mov&&&& ecx, dword ptr [esp+4]0058F32D&&& 8B49 04&&&&&&&& mov&&&& ecx, dword ptr [ecx+4]&&& 0 0&add&&&& dword ptr [ecx+B8], 2&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 48&&&&&&&&&&&&& dec&&&& eax0058F33A&&& C2 0400&&&&&&&& retn&&& 40058F33D&&& 60&&&&&&&&&&&&& pushad0058F33E&&& E8 1C000000&&&& call&&& 0058F35F&&&&&&&&& F7&&&&&&&&&&&&&& ; 这里是用SEH 进程反调试&0058F35F&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]&&&&&&&&& ; kernel32.763B0000&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&&&&&&&& ; 获取& SetUnhandledExceptionFilter0058F36B&&& 96&&&&&&&&&&&&& xchg&&& eax, esi0058F36C&&& 8D85 1A1A2A07&& lea&&&& eax, dword ptr [ebp+72A1A1A]&&& 50&&&&&&&&&&&&& push&&& eax&&& FFD6&&&&&&&&&&& call&&& esi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 设置异常捕获函数&&& 97&&&&&&&&&&&&& xchg&&& eax, edi&&&&&&&&&&&&&&&&&&&&&&&& ; 下面就是作者故意触发异常&&& 33D2&&&&&&&&&&& xor&&&& edx, edx&&& F7FA&&&&&&&&&&& idiv&&& edx0058F37A&&& 90&&&&&&&&&&&&& nop0058F37B&&& 90&&&&&&&&&&&&& nop0058F37C&&& CD 01&&&&&&&&&& int&&&& 10058F37E&&& 90&&&&&&&&&&&&& nop0058F37F&&& 90&&&&&&&&& &&&&nop&&& CC&&&&&&&&&&&&& int3&&& 90&&&&&&&&&&&&& nop&&& 90&&&&&&&&&&&&& nop&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 3100&&&&&&&&&&& xor&&&& dword ptr [eax], eax&&& 90&&&&&&&&&&&&& nop&&& 90&& &&&&&&&&&&&nop&&& 57&&&&&&&&&&&&& push&&& edi0058F38A&&& FFD6&&&&&&&&&&& call&&& esi0058F38C&&& 61&&&&&&&&&&&&& popad0058F38D&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& 037F 3C&&&&&&&& add&&&& edi, dword ptr [edi+3C]&&& 8BB5 6B212A07&& mov&&&& esi, dword ptr [ebp+72A216B]&&&& ; PE头0058F39C&&& 8B4F 54&&&&&&&& mov&&&& ecx, dword ptr [edi+54]&&&&&&&&& ; SizeOfHead0058F39F&&& 8D85 10242A07&& lea&&&& eax, dword ptr [ebp+72A2410]&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 保存原属性方式&&& 6A 04&&&&&&&&&& push&&& 4&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 新属性&&& 51&&&&&&&&&&&&& push&&& ecx&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 大小&&& FFB5 6B212A07&& push&&& dword ptr [ebp+72A216B]&&&&&&&&& ; 修改地址0058F3AF&&& FF95 34232A07&& call&&& dword ptr [ebp+72A2334]&&&&&&&&& ; //修改属性VirtualProtect&&& F785 &test&&& dword ptr [ebp+72A2173], 80058F3BF&&& 0F84 A7000000&& je&&&&& 0058F46C&&& 68 &&&& push&&& 1040058F3CA&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]&&& 57&&&&&&&&&&&&& push&&& edi&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 4B232A07&& call&&& dword ptr [ebp+72A234B]&&&&&&&&& ; //获取程序PATH&&& 6A 00&&&&&&&&&& push&&& 00058F3DB&&& 68 &&&& push&&& 80&&& 6A 03&&&&&&&&&& push&&& 3&&& 6A 00&&&&&&&&&& push&&& 0&&& 6A 01&&&&&&&&&& push&&& 1&&& 68 &&&& push&&& 0058F3EB&&& 57&&& &&&&&&&&&&push&&& edi0058F3EC&&& FF95 5B232A07&& call&&& dword ptr [ebp+72A235B]&&&&&&&&& ; 打开自身&&& 83F8 FF&&&&&&&& cmp&&&& eax, -1&&& 75 04&&&&&&&&&& jnz&&&& short 0058F3FB&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& EB 71 &&&&&&&&&&jmp&&&& short 0058F46C0058F3FB&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax0058F3FD&&& 6A 00&&&&&&&&&& push&&& 00058F3FF&&& 57&&&&&&&&&&&&& push&&& edi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取自身大小&&& FF95 97232A07&& call&&& dword ptr [ebp+72A2397]&&& 83E8 05&&&&&&&& sub&&&& eax, 5&&& 96&&&&&&&&&&&&& xchg&&& eax, esi0058F40A&&& 56&&&&&&&&&&&&& push&&& esi0058F40B&&& 6A 40&&&&&&&&&& push&&& 40&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 创建一块 自身大小的内存0058F40D&&& FF95 6B232A07&& call&&& dword ptr [ebp+72A236B]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 75 02&&&&&&&&&& jnz&&&& short &&& EB 4A&&&&&&&&&& jmp&&&& short &&& 93&&&&&&&&&&&&& xchg&&& eax, ebx0058F41A&&& 6A 00&&&&&&&&&& push&&& 00058F41C& &&8D85 10242A07&& lea&&&& eax, dword ptr [ebp+72A2410]&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; &dwRead&&& 56&&&&&&&&&&&&& push&&& esi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 要读入字节数&&& 53&&&&&&&&&&&&& push&&& ebx&&&& &&&&&&&&&&&&&&&&&&&&&&&&&; 缓冲区&&& 57&&&&&&&&&&&&& push&&& edi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 文件句柄&&& FF95 87232A07&& call&&& dword ptr [ebp+72A2387]0058F42C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F42E&&& 8BCE&&&&&&&&&&& mov&&&& ecx, esi&&& 53&&&&&&&&&&&&& push&&& ebx&&& 57&&&&&&&&&&&&& push&&& edi&&& E8 &&&& call&&& &&&&&&&&&&&&&&&&&&&&&&&& ; 算一个校验 保存起来 后面他会比较&&& A07&& mov&&&& dword ptr [ebp+72A2177], eax0058F43D&&& 5F&&&&&& &&&&&&&pop&&&& edi0058F43E&&& 5B&&&&&&&&&&&&& pop&&&& ebx0058F43F&&& 8D85 4C1B2A07&& lea&&&& eax, dword ptr [ebp+72A1B4C]&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 33C0&&&&&&&&&&& xor&&&& eax, eax0058F44B&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F44D&&& 33D2&&&&&&&&&&& xor&&&& edx, edx0058F44F&&& 8A07&&&&&&&&&&& mov&&&& al, byte ptr [edi]&&& F7E2&&&&&&&&&&& mul&&&& edx&&& 03D8&&&&&&&&&&& add&&&& ebx, eax&&& 42&&&&&&&&&&&&& inc&&&& edx&&& 47&&&&&&&&&&&&& inc&&&& edi& ^ E2 F6&&&&&&&&&& loopd&& short 0058F44F&&& 93&&&&&&&&&&&&& xchg&&& eax, ebx0058F45A&&& C3&&&&&&&&&&&&& retn&&&0058F45B&&& 53&&&&&&&&&&&&& push&&& ebx0058F45C&&& FF95 7A232A07&& call&&& dword ptr [ebp+72A237A]&&&&&&&&& ; 释放&&& 96&&&&&&&&&&&&& xchg&&& eax, esi&&& 50&&&&&&&&&&&&& push&&& eax&&& 57&&&&&&&&&&&&& push&&& edi&&& FF95 A7232A07&& call&&& dword ptr [ebp+72A23A7]&&&&&&&&& ; 关闭句柄0058F46B&&& 58&&&&&&&&&&&&& pop&&&& eax0058F46C&&& E9 0B000000&&&& jmp&&&& 0058F47C&&& 07&&&&&&&&&&&&& pop&&&& es&&& BB &&&& mov&&&& ebx, 1&&& E8 &&&& call&&& 0058F47C&&& 8D85 3E1C2A07&& lea&&&& eax, dword ptr [ebp+72A1C3E]&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn 这个retn后就要到OEP了&&&0058F54D&&& 8B9D 6B212A07&& mov&&&& ebx, dword ptr [ebp+72A216B]&&&& ; hsreg.&&& 039D 6F212A07&& add&&&& ebx, dword ptr [ebp+72A216F]&&& C1CB 07&&&&&&&& ror&&&& ebx, 7& //在这里其实ebx 就指向OEP来看看下面他做什么了0058F55C&&& 895C24 10&&&&&& mov &&&&dword ptr [esp+10], ebx&&& 8D9D 391F2A07&& lea&&&& ebx, dword ptr [ebp+72A1F39]&&& 895C24 1C&&&&&& mov&&&& dword ptr [esp+1C], ebx0058F56A&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& 037F 3C&&&&&&&& add&&&& edi, dword ptr [edi+3C]&&& 8B9F C0000000&& mov&&&& ebx, dword ptr [edi+C0]&&& 83FB 00&&&&&&&& cmp&&&& ebx, 00058F57C&&& 74 0F&&&&&&&&&& je&&&&& short 0058F58D0058F57E&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]&&& 8B43 08&&&&&&&& mov&&&& eax, dword ptr [ebx+8]&&& C700 && mov&&&& dword ptr [eax], 00058F58D&&& 8B85 77212A07&& mov&&&& eax, dword ptr [ebp+72A2177]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 0D&&&&&&&&&& je&&&&& short &&& 3B85 0C242A07&& cmp&&&& eax, dword ptr [ebp+72A240C]&&&& ; 这里就是 判断校验了0058F59D&&& 74 05&&&&&&&&&& je&&&&& short
跳0058F59F&&& E9 AF010000&&&& jmp&&&& &&& 8DB5 83212A07&& lea&&&& esi, dword ptr [ebp+72A2183] 跳到这里0058F5AA&&& F785 &test&&& dword ptr [ebp+72A2173], 20&&& 74 49&&&&&&&&&& je&&&&& short 0058F5FF& 这里也会跳&&& 56&&&&&&&&&&&&& push&&& esi&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]0058F5BD&&& 33C9&&&&&&&&&&& xor&&&& ecx, ecx0058F5BF&&& EB 17&&&&&&&&&& jmp&&&& short &&& 8B56 04&&&&&&&& mov&&&& edx, dword ptr [esi+4]&&& A07&& add&&&& edx, dword ptr [ebp+72A216B]0058F5CA&&& EB 04&&&&&&&&&& jmp&&&& short 0058F5CC&&& 41&&&&&&&&&&&&& inc&&&& ecx0058F5CD&&& 83C2 04&&&&&&&& add&&&& edx, 4&&& 833A 00&&&&&&&& cmp&&&& dword ptr [edx], 0& ^ 75 F7&&&&&&&&&& jnz&&&& short 0058F5CC&&& 83C6 0C&&&&&&&& add&&&& esi, 0C&&& 837E 04 00 &&&&&cmp&&&& dword ptr [esi+4], 00058F5DC& ^ 75 E3&&&&&&&&&& jnz&&&& short 0058F5DE&&& 33D2&&&&&&&&&&& xor&&&& edx, edx&&& B8 &&&& mov&&&& eax, 5&&& F7E1&&&&&&&&&&& mul&&&& ecx&&& 50&&&&&&&&&&&&& push&&& eax&&& 6A 00&&&&&&&&&& push&&& 00058F5EA&&& FF95 6B232A07&& call&&& dword ptr [ebp+72A236B]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 75 05&&&&&&&&&& jnz&&&& short &&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 61&&&&&&& &&&&&&popad&&& C3&&&&&&&&&&&&& retn&&&&& 8907&&&&&&&&&&& mov&&&& dword ptr [edi], eax0058F5FB&&& 8947 04&&&&&&&& mov&&&& dword ptr [edi+4], eax0058F5FE&&& 5E&&&&&&&&&&&&& pop&&&& esi0058F5FF&&& E9 &&&& jmp&&&&
跳到这里, 继续跳 往下面看&&& 8B1E&&&&&&&&&&& mov&&&& ebx, dword ptr [esi]&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]0058F60C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F60E&&& E8 &&&& call&&& 0058F61B&&& 8D85 1F1D2A07&& lea&&&& eax, dword ptr [ebp+72A1D1F]&&& 50&&&&&&&&&&&&& push&&& eax0058F61A&&& C3&&&&&&&&&&&&& retn&&& 8B1E&&&&&&&&&&& mov&&&& ebx, dword ptr [esi]& 从下面跳上来 取数值&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]& 加基址0058F60C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F60E&&& E8 &&&& call&&& 0058F61B& //这个CALL 里面做的事情是& Lodsb& Ror al,4& Stosb& Esi 指向的内容进行ror ,4 解密, 结束条件是不为0& 这里就是解出了一些DLL名,以及 相关API名称&&& 8D85 1F1D2A07&& lea&&&& eax, dword ptr [ebp+72A1D1F]&&& 50&&&&&&&&&&&&& push&&& eax0058F61A&&& C3&&&&&&&&&&&&& retn& 返回到下面0058f62e0058F61B&&& 56&&&&&&&&&&&&& push&&& esi0058F61C&&& 57&&&&&&&&&&&&& push&&& edi0058F61D&&& 8BF0&&&&&&&&&&& mov&&&& esi, eax0058F61F&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]&&& C0C8 04&&&&&&&& ror&&&& al, 4&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]&&& 803F 00&&&&&&&& cmp&&&& byte ptr [edi], 0&& 也就是这一段 在解密& ^ 75 F6&&&&&&&&&& jnz&&&& short 0058F62B&&& 5F&&&&&&&&&&&&& pop&&&& edi0058F62C&&& 5E&&&&&&&&&&&&& pop&&&& esi0058F62D&&& C3&&&&&&&&&&&&& retn0058F62E&&& 53&&&&&&&&&&&&& push&&& ebx& //retn 到这里 压入解出来的DLL 名称0058F62F&&& FF95 F7222A07&& call&&& dword ptr [ebp+72A22F7]& LoadLibrary( ebx)&&& 85C0&&&&&&&&&&& test&&& eax, eax&&& 0F84 && je&&&&& 0058F63D&&& 50&&&&&&&&&&&&& push&&& eax0058F63E&&& F785 &test&&& dword ptr [ebp+72A2173], 4&&& 74 0E&&&&&&&&&& je&&&&& short 0058F64A&&& 8D85 491D2A07&& lea&&&& eax, dword ptr [ebp+72A1D49]&&& 50&&&&&&&&&&&&& push&&& eax&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx&&& E9 B4030000&&&& jmp&&&& 0058FA0C&&& 5B&&&&&&&&&&&&& pop&&&& ebx&&& 8B4E 08&&&&&&&& mov&&&& ecx, dword ptr [esi+8] 继续取出来个地址0058F65C&&& 0BC9&&&&&&&&&&& or&&&&& ecx, ecx0058F65E&&& 75 03&&&&&&&&&& jnz&&&& short &&& 8B4E 04&&&&&&&& mov&&&& ecx, dword ptr [esi+4]&&& 038D 6B212A07&& add&&&& ecx, dword ptr [ebp+72A216B]& 加上基址&&& 8B56 04&&&&&&&& mov&&&& edx, dword ptr [esi+4]& 继续取+ 基址0058F66C&&& A07&& add&&&& edx, dword ptr [ebp+72A216B]现在不知道他们里面存的什么东西, 我们往下看看&&&& E9 C3000000&&&& jmp&&&& 0058F73A 跳&&& F701 && test&&& dword ptr [ecx], 0058F67D&&& 75 4B&&&&&&&&&& jnz&&&& short 0058F6CA0058F67F&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]&&& 83C0 02&&&&&&&& add&&&& eax, 2 &&&A07&& add&&&& eax, dword ptr [ebp+72A216B]0058F68A&&& 50&&&&&&&&&&&&& push&&& eax0058F68B&&& E8 8BFFFFFF&&&& call&&& 0058F61B& 解密函数名&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 52&&&&&&&&&&&&& push&&& edx&&& 51&&&&&&&&&&&&& push&&& ecx 保护环境&&& 50&&&&&&&&&&&&& push&&& eax&&& 53&&&&&&&&&&&&& push&&& ebx&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB] GetProcess 获取api地址0058F69D&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax0058F69F&&& 75 07&&&&&&&&&& jnz&&&& short &&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx&&& E9 AB000000&&&& jmp&&&& &&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx0058F6AA&&& 60&&&&&&&&&&&&& pushad0058F6AB&&& F785 &test&&& dword ptr [ebp+72A2173], 4&&& 74 0E&&&&&&&&&& je&&&&& short &&& 8D85 B61D2A07&& lea&&&& eax, dword ptr [ebp+72A1DB6]0058F6BD &&&50&&&&&&&&&&&&& push&&& eax0058F6BE&&& 8BC7&&&&&&&&&&& mov&&&& eax, edi&&& E9 &&&& jmp&&&& 0058FA0C&&& 61&&&&&&&&&&&&& popad&&& 8902&&&&&&&&&&& mov&&&& dword ptr [edx], eax 将获取到的地址存到上面第二个获取到的地址&&& EB 19&&&&& &&&&&jmp&&&& short 0058F6CA&&& 52&&&&&&&&&&&&& push&&& edx0058F6CB&&& 51&&&&&&&&&&&&& push&&& ecx0058F6CC&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]0058F6CE&&& 2D &&&& sub&&&& eax, &&& 50&&&&&&&&&&&&& push&&& eax&&& 53&&&&&&&&&&&&& push&&& ebx&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]0058F6DB&&& 85C0&&&&&&&&&&& test&&& eax, eax0058F6DD&&& 74 74&&&&&&&&&& je&&&&& short 0058F6DF&&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx&&& 8902&&&&&&&&&&& mov&&&& dword ptr [edx], eax&&& F785 &test&&& dword ptr [ebp+72A2173], 200058F6ED&&& 74 45&&&&&&&&&& je&&&&& short 0058F6EF&&& 83BD 7F212A07 0&cmp&&&& dword ptr [ebp+72A217F], 0&&& 74 14&&&&&&&&&& je&&&&& short 0058F70C&&& 81FB && cmp&&&& ebx, 0058F6FE&&& 72 08&&&&&&&&&& jb&&&&& short &&& 81FB FFFFFF77&& cmp&&&& ebx, 77FFFFFF&&& 76 0E&&&&&&&&&& jbe&&& &short &&& EB 2A&&&&&&&&&& jmp&&&& short 0058F70A&&& EB 0A&&&&&&&&&& jmp&&&& short 0058F70C&&& 81FB && cmp&&&& ebx, &&& 73 02&&&&&&&&&& jnb&&&& short &&& EB 1E&&&&&&&&&& jmp&&&& short &&& 57&&&&&&&&&&&&& push&&& edi&&& 56&&&&&&&&&&&&& push&&& esi&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]0058F71E&&& 8B77 04&&&&&&&& mov&&&& esi, dword ptr [edi+4]&&& 8932&&&&&&&&&&& mov&&&& dword ptr [edx], esi&&& 2BC6&&&&&&&&&&& sub&&&& eax, esi&&& 83E8 05&&&&&&&& sub&&&& eax, 5&&& C606 E9&&&&&&&& mov&&&& byte ptr [esi], 0E90058F72B&&& 8946 01&&&&&&&& mov&&&& dword ptr [esi+1], eax0058F72E&&& &&&&& add&& &&dword ptr [edi+4], 5&&& 5E&&&&&&&&&&&&& pop&&&& esi&&& 5F&&&&&&&&&&&&& pop&&&& edi&&& 83C1 04&&&&&&&& add&&&& ecx, 4&&& 83C2 04&&&&&&&& add&&&& edx, 40058F73A&&& 8339 00&&&&&&&& cmp&&&& dword ptr [ecx], 00058F73D& ^ 0F85 34FFFFFF&& jnz&&&& & 这里循环解密iat&&& 83C6 0C&&&&&&&& add&&&& esi, 0C&&& 837E 04 00&&&&& cmp&&&& dword ptr [esi+4], 0 跳到这里 做一个判断 里面数值是否为00058F74A& ^/0F85 B4FEFFFF&& jnz&&&& &&2个循环其实就是这样&While ( Import-&Name1 ){& 解密Import-&Name1指向的数据& 加载指向的dll& While (imort-&OriginalFirstTunk) // 这里和上面的 就是构造的大体意思就是这样& {& 判断FirstTunk 是否是序号导入& 跟0x8000000运算& 是的话 就sub -0x& 进行其他操作& 不是话就+2加基址& Call 跟解密dll名称的那个call 进行解密& 调用GetProcAddress ,获取函数地址& 存放到[imort-&FirstThunk] 里& add 上面取到的地址& Add 上面取到的地址& }}&最后的数据0058E28C& 22 12 3C 76 45 12 3C 76 A7 49 3C 76 E0 79 3C 76& &&vE&v &v &v0058E29C& 1E FD 49 75 00 00 00 00 00 00 47 65 74 50 72 6F& ‑ u......GetPro0058E2AC& 63 41 64 64 72 65 73 73 00 00 00 47 65 74 4D 6F& cAddress...GetMo0058E2BC& 64 75 6C 65 48 61 6E 64 6C 65 41 00 00 00 4C 6F& duleHandleA...Lo0058E2CC& 61 64 4C 69 62 72 61 72 79 41 00 00 00 45 78 69& adLibraryA...Exi0058E2DC& 74 50 72 6F 63 65 73 73 00 00 00 4D 65 73 73 61& tProcess...Messa0058E2EC& 67 65 42 6F 78 41 00 90 4D 69 6E 65 49 6D 70 6F& geBoxA. ineImpo0058E2FC& 72 74 5F 45 6E 64 73 73 00 00 00 00 00&&&&&&&&&& rt_Endss.....&&&&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 40&&&&&&&&&&&&& inc&&&& eax&&& 83F8 01&&&&&&&& cmp&&&& eax, 1&&& 74 02&&&&&&&&&& je&&&&& short 0058F75A跳&&& 61&&&&&&&&&&&&& popad&&& C3&&&&&&&&&&&&& retn0058F75A&&& F785 &test&&& dword ptr [ebp+72A2173], 2&&& 74 1D&&&&&&&&&& je&&&&& short & 跳&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs&&& 32C9&&&&&&&&&&& xor&&&& cl, cl0058F76A&&& E3 17&&&&&&&&&& jecxz&& short 0058F76C&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& B9 &&&& mov&&&& ecx, 112&&& 8BB5 6B212A07&& mov&&&& esi, dword ptr [ebp+72A216B]0058F77D&&& C606 00&&&&&&&& mov&&&& byte ptr [esi], 0&&& 46&&&&&&&&&&&&& inc&&&& esi& ^ E2 FA&&&&&&&&&& loopd&& short 0058F77D&&& 8D85 51172A07&& lea&&&& eax, dword ptr [ebp+72A1751] 取入口点&&& B9 &&&& mov&&&& ecx, 766& 字节数0058F78E&&& EB 01&&&&&&&&&& jmp&&&& short & - E9 E8B1FCFF&&&& jmp&&&& 0055A97D&&& FFEB&&&&&&&&&&& jmp&&&& far ebx&& 这里将E9 变成nop 就会看到是一个计算校验的函数&&&&&&&&&&&&&&&&&&&&&& ; Illegal use of register&&& 01C7&&&&&&&&&&& add&&&& edi, eax&&& 8B9D 7B212A07&& mov&&&& ebx, dword ptr [ebp+72A217B]&&&& ; 校验0058F79F&&& 33C3&&&&&&&&&&& xor&&&& eax, ebx& &&74 08&&&&&&&&&& je&&&&& short 0058F7AB&&& EB 01&&&&&&&&&& jmp&&&& short &&& 2C 61&&&&&&&&&& sub&&&& al, 61&&& EB 01&&&&&&&&&& jmp&&&& short 0058F7AA&&&& 8B9D 7B212A07&& mov&&&& ebx, dword ptr [ebp+72A217B]&&&& ; 校验0058F79F&&& 33C3&&&&&&&&&&& xor&&&& eax, ebx&&& 74 08&&&&&&&&&& je&&&&& short 0058F7AB&&& EB 01&&&&&&&&&& jmp&&&& short &&& 90&&&&&&&&&&&&& nop& 我将这里都改成nop了 不然太难看了&&& 61&&&&&&&&&&&&& popad&&& EB 01 &&&&&&&&&&jmp&&&& short 0058F7AA&&& 90&&&&&&&&&&&&& nop&&&&&&&&&&& nop0058F7AA&&& C3&&&&&&&&&&&&& retn0058F7AB&&& 8DBD B71E2A07&& lea&&&& edi, dword ptr [ebp+72A1EB7]& 取下面的地址, 继续解密 从00&&& 8BF7&&&&&&&&&&& mov&&&& esi, edi&&&& B9 &&&& mov&&&& ecx, 246&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F7BA&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]0058F7BB&&& 34 79&&&&&&&&&& xor&&&& al, 790058F7BD&&& 2AC3&&&&&&&&&&& sub&&&& al, bl0058F7BF&&& C0C0 02&&&&&&&& rol&&&& al, 2&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi] 解密&&& 43&&&&&&&&&&&&& inc&&&& ebx& ^ E2 F4&&&&&&&&&& loopd&& short 0058F7BA&&& 1A1B&&&&&&&&&&& sbb&&&& bl, byte ptr [ebx]解密以后的数据是这样&&&& 8D85 E2232A07&& lea&&&& eax, dword ptr [ebp+72A23E2]0058F7CC&&& 50&&&&&&&&&&&&& push&&& eax0058F7CD&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&&&&&&&& ; //获取IsDeggerPresent 地址&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax0058F7DB&&& 74 08&&&&&&&&&& je&&&&& short 0058F7DD&&& FFD0&&&&&&&&&&& call&&& eax 使用IsDeggerPresent&& 反调试0058F7DF&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 02&&&&&&&&&& je&&&&& short
跳&&& 61&&&&&&&&&&&&& popad&&& C3&&&&&&&&&&&&& retn&&& F785 &test&&& dword ptr [ebp+72A2173], 1 这里0058F7EF&&& 74 4F&&&&&&&&&& je&&&&& short & 继续跳&&& 8DB5 EB222A07&& lea&&&& esi, dword ptr [ebp+72A22EB]&&& 8D85 0C1F2A07&& lea&&&& eax, dword ptr [ebp+72A1F0C]0058F7FD&&& 8946 08&&&&&&&& mov&&&& dword ptr [esi+8], eax&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx&&& 8D85 3A212A07&& lea&&&& eax, dword ptr [ebp+72A213A]&&& 50&&&&&&&&&&&&& push&&& eax&&& 64:FF33&&&&&&&& push&&& dword ptr fs:[ebx]0058F80C&&& 64:8923&&&&&&&& mov&&&& dword ptr fs:[ebx], esp0058F80F&&& 8BFD&&&&&&&&&&& mov&&&& edi, ebp&&& B8 &&&& mov&&&& eax, 4400&&& EB 01&&&&&&&&&& jmp&&&& short &&& C7&&&&&&&&&&&&& ???&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; Unknown command&&& CD 68&&&&&&&&&& int&&&& 680058F81B&&& 33DB&&&&&&&&&&& xor& &&&ebx, ebx0058F81D&&& 64:8F03&&&&&&&& pop&&&& dword ptr fs:[ebx]&&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 66:81FF 9712&&& cmp&&&& di, 1297&&& 74 0E&&&&&&&&&& je&&&&& short 0058F82A&&& 66:81FF 7712&&& cmp&&&& di, 12770058F82F&&& 74 07&&&&&&&&&& je&&&&& short &&& 66:81FF 3013&&& cmp&&&& di, 1330&&& 75 08&&&&&&&&&& jnz&&&& short &&& EB 01&&&&&&&&&& jmp&&&& short 0058F83B0058F83A&&& FF61 EB&&&&&&&& jmp&&&& dword ptr [ecx-15]0058F83D&&& 01E8&&&&&&&&&&& add&&&& eax, ebp0058F83F&&& C3&&&&&&&&&&&&& retn&&& 8D85 6B1F2A07&& lea&&&& eax, dword ptr [ebp+72A1F6B] 跳到这里&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn& 继续往下看&&& 55&&&&&&&&&&&&& push&&& ebp&&& 8BEC&&&&&&&&&&& mov&&&& ebp, esp0058F84B&&& 57&&&&&&&&&&&&& push&&& edi0058F84C&&& 8B45 10&&&&&&&& mov&&&& eax, dword ptr [ebp+10]0058F84F&&& 8BB8 C4000000&& mov&&&& edi, dword ptr [eax+C4]&&& FF37&&&&&&&&&&& push&&& dword ptr [edi]&&& 33FF&&&&&&&&&&& xor&&&& edi, edi&&& 64:8F07&&&&&&&& pop&&&& dword ptr fs:[edi]0058F85C&&& 0 0&add&&&& dword ptr [eax+C4], 8&&& 8BB8 A4000000&& mov&&&& edi, dword ptr [eax+A4]&&& C1C7 07&&&&&&&& rol&&&& edi, 70058F86C&&& 89B8 B8000000&& mov&&&& dword ptr [eax+B8], edi&&& B8 &&&& mov&&&& eax, 0&&& 5F&&&&&&&&&&&&& pop&&&& edi&&& C9&&&&&&&&&&&&& leave&&& C3&&&&&&&&&&&&& retn0058F87A&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs 跳这里0058F87C&&& 32C9&&&&&&&&&&& xor&&&& cl, cl0058F87E&&& 0BC9&&&&&&&&&&& or&&&&& ecx, ecx&&& 0F84 A0000000&& je&&&&& &&& 6A 40&&&&&&&&&& push&&& 40&&& 68 &&&& push&&& 80010000058F88D&&& 68 &&&& push&&& 69&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 B8232A07&& call&&& dword ptr [ebp+72A23B8]0058F89A&&& A07&& mov&&&& dword ptr [ebp+72A201C], eax&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 8DB5 4E202A07&& lea&&&& esi, dword ptr [ebp+72A204E]&&& 68 &&&& push&&& 690058F8AD&&& 59&&&&&&&&&&&&& pop&&&& ecx0058F8AE&&& F3:A4&&&&&&&&&& rep&&&& movs byte ptr es:[edi], byte ptr&&&& 8BD8&&&&&&&&&&& mov&&&& ebx, eax&&& 55&&&&&&&&&&&&& push&&& ebp&&& 8F83 && pop&&&& dword ptr [ebx+61]&&& FFB5 DE232A07&& push&&& dword ptr [ebp+72A23DE]0058F8BF&&& 8F83 && pop&&&& dword ptr [ebx+65]&&& 8B85 CE232A07&& mov&&&& eax, dword ptr [ebp+72A23CE]0058F8CB&&& 83C0 05&&&&&&&& add&&&& eax, 50058F8CE&&& 0&& mov&&&& dword ptr [ebx+53], eax&&& 8D7B 4D&&&&&&&& lea&&&& edi, dword ptr [ebx+4D]&&& 8BB5 CE232A07&& mov&&&& esi, dword ptr [ebp+72A23CE]0058F8DD&&& 803E E9&&&&&&&& cmp&&&& byte ptr [esi], 0E9&&& 74 07&&&&&&&&&& je&&&&& short &&& 6A 05&&&&&&&&&& push&&& 5&&& 59&&&&&&&&&&&&& pop&&&& ecx&&& F3:A4&&&&&&&&&& rep&&&& movs byte ptr es:[edi], byte ptr&&&& EB 0D&&&&&&&&&& jmp&&&& short &&& 8B46 01&&&&&&&& mov&&&& eax, dword ptr [esi+1]0058F8EC&&& 03C6&&&&&&&&&&& add&&&& eax, esi0058F8EE&&& 2BC7&&&&&&&&&&& sub&&&& eax, edi&&& 8947 01&&&&&&&& mov&&&& dword ptr [edi+1], eax&&& C607 E9&&&&&&&& mov&&&& byte ptr [edi], 0E9&&& 50&&&&&&&&&&&&& push&&& eax&&& 0F014C24 FE&&&& sidt&&& fword ptr [esp-2]0058F8FC&&& 5F&&&&&&&&&&&&& pop&&&& edi0058F8FD&&& 83C7 20&&&&&&&& add&&&& edi, 20&&& 8B4F 04 &&&&&&&&mov&&&& ecx, dword ptr [edi+4]&&& 66:8B0F&&&&&&&& mov&&&& cx, word ptr [edi]&&& FA&&&&&&&&&&&&& cli&&& 8DB5 24202A07&& lea&&&& esi, dword ptr [ebp+72A2024]0058F90D&&& 66:8937&&&&&&&& mov&&&& word ptr [edi], si& &&C1EE 10&&&&&&&& shr&&&& esi, 10&&& 66:8977 06&&&&& mov&&&& word ptr [edi+6], si&&& FB&&&&&&&&&&&&& sti&&& CD 04&&&&&&&&&& int&&&& 40058F91A&&& FA&&&&&&&&&&&&& cli0058F91B&&& 66:890F&&&&&&&& mov&&&& word ptr [edi], cx0058F91E&&& C1E9 10&&&&&&&& shr&&&& ecx, 10&&& 66:894F 06&&&&& mov&&&& word ptr [edi+6], cx&&& FB&&&&&&&&&&&&& sti&&& E9 9B000000&&&& jmp&&&&
跳这里 继续跳0058F92B&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F92D&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F92F&&& 26:35 B20460E8& xor&&&& eax, E86004B2&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 5D&&&&&&&&&&&&& pop&&&& ebp0058F93A&&& 81ED 2A202A07&& sub&&&& ebp, 72A202A&&& 8B85 1C202A07&& mov&&&& eax, dword ptr [ebp+72A201C]&&& 2B85 CE232A07&& sub&&&& eax, dword ptr [ebp+72A23CE]0058F94C&&& 83E8 05&&&&&&&& sub&&&& eax, 50058F94F&&& 8B8D CE232A07&& mov&&&& ecx, dword ptr [ebp+72A23CE]&&& C601 E9&&&&&&&& mov&&&& byte ptr [ecx], 0E9&&& 8941 01&&&&&&&& mov&&&& dword ptr [ecx+1], eax0058F95B&&& 61&&&&&&&&&&&&& popad0058F95C&&& CF&&&&&&&&&&&&& iretd0058F95D&&& 9C&&&&&&&&&&&&& pushfd0058F95E&&& 60&&&&&&&& &&&&&pushad0058F95F&&& E8 &&&& call&&& &&& 5D&&&&&&&&&&&&& pop&&&& ebp&&& 81ED 55202A07&& sub&&&& ebp, 72A20550058F96B&&& 8B7424 28&&&&&& mov&&&& esi, dword ptr [esp+28]0058F96F&&& 8D85 AB202A07&& lea&&&& eax, dword ptr [ebp+72A20AB]&&& 50&&&&&&&&&&&&& push&&& eax&&& 6A 04&&&&&&&&&& push&&& 4&&& 8D85 A7202A07&& lea&&&& eax, dword ptr [ebp+72A20A7]0058F97E&&& 50&&&&&&&&&&&&& push&&& eax0058F97F&&& B8 20202A07&&&& mov&&&& eax, 72A2020&&& 0385 AF202A07&& add&&&& eax, dword ptr [ebp+72A20AF]0058F98A&&& 50&&&&&&&&&&&&& push&&& eax0058F98B&&& 56&&&&&&&&&&&&& push&&& esi0058F98C&&& E8 &&&& call&&& 0058F9AA&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 13&&& &&&&&&&je&&&&& short &&& B8 &&&& mov&&&& eax, 4B235260058F99A&&& A07&& cmp&&&& dword ptr [ebp+72A20A7], eax&&& 75 06&&&&&&&&&& jnz&&&& short &&& FF95 B3202A07&& call&&& dword ptr [ebp+72A20B3]&&& 61&&&&&&&&&&&&& popad&&& 9D&&&&&&&&&&&&& popfd0058F9AA&&& 55&&&&&&&&&&&&& push&&& ebp0058F9AB&&& 8BEC&&&&&&&&&&& mov&&&& ebp, esp0058F9AD&&& 56&&&&&&&&&&&&& push&&& esi0058F9AE&&& 57&&&&&&&&&&&&& push&&& edi0058F9AF&&& B8 4E61BC00 &&&&mov&&&& eax, 0BC614E&&& FFE0&&&&&&&&&&& jmp&&&& eax&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F9BA&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F9BC&&& 0000&&&&&&&&& &&add&&&& byte ptr [eax], al0058F9BE&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& FC&&&&&&&&&&&&& cld& 跳这里&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B] 获取基址0058F9CD&&& 83C7 70&&&&&&&& add&&&& edi, 70&&& 8D85 CA202A07&& lea&&&& eax, dword ptr [ebp+72A20CA] 取字符Foxlock&&&& AB&&&&&&&&&&&&& stos&&& dword ptr es:[edi]&&& EB 08&&&&&&&&&& jmp&&&& short
跳&&& 46&&&&&&&&&&&&& inc&&&& esi0058F9DA&&& 6F&&&&&&&&&&&&& outs&&& dx, dword ptr es:[edi]0058F9DB&&& 78 4C&&&&&&&&&& js&&&&& short 0058FA290058F9DD&&& 6F&&&&&&&&&&&&& outs&&& dx, dword ptr es:[edi]0058F9DE&&& 636B 00&&&&&&&& arpl&&& word ptr [ebx], bp&&& 32C0&&&&&&&&&&& xor&&&& al, al 跳这里&&& 8DBD 51172A07&& lea&&&& edi, dword ptr [ebp+72A1751] 取入口点&&& B9 E8070000&&&& mov&&&& ecx, 7E8 数量0058F9EE&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]0058F9EF& ^ E2 FD&&&&&&&&&& loopd&& short 0058F9EE&&&&&&&&&&&&&&&&&& ; 这里是删除 壳的代码&&& 8DBD FD202A07&& lea&&&& edi, dword ptr [ebp+72A20FD] &&& B9 F7020000&&&& mov&&&& ecx, 2F70058F9FC&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]& 继续删下面的代码 用来构造异常0058F9FD& ^ E2 FD&&&&&&&&&& loopd&& short 0058F9FC0058F9FF&&& 61&&&&&&&&&&&&& popad0058FA00&&& 50&&&&&&&&&&&&& push&&& eax0058FA01&&& 33C0&&&&&&&&&&& xor&&&& eax, eax0058FA03&&& 64:FF30&&&&&&&& push&&& dword ptr fs:[eax]0058FA06&&& 64:8920&&&&&&&& mov&&&& dword ptr fs:[eax], esp&&&&&&&&& ; 构造SEH0058FA09&&& EB 01&&&&&&&&&& jmp&&&& short 0058FA0C&&&&&&&&&&&&&&&&&& ; 触发异常,，& 这里跳向入口点的时候, 是在Se handle 里 把eip指向的入口点 0058FA0B&&& 87EB&&&&&&&&&&& xchg&&& ebx, ebp跳向入口点的时候, 作者用了seh机制来跳，，这个第一次看到,给我等菜鸟提供了一个新的思路～～～～&通过分析这个壳, 学到了不少新东西,～～～～～文内有许多分析不怎么对的地方,望各位看官,多多包涵, 多多指出错误之处～～～～
无相关信息
Copyright & 2016 Ninxun All Rights Reserved
您讯公司 版权所有}
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&签到排名：今日本吧第个签到，本吧因你更精彩，明天继续来努力！
本吧签到人数：0成为超级会员，使用一键签到本月漏签0次！成为超级会员，赠送8张补签卡连续签到：天&&累计签到：天超级会员单次开通12个月以上，赠送连续签到卡3张
关注：7,202贴子：
转贴:如图,所有棱长都为2的正三棱柱BCD-B′C′D′,四边形ABCD是...收藏
一道立体几何题……试试看吧～如图,所有棱长都为2的正三棱柱BCD-B′C′D′,四边形ABCD是菱形,其中E为BD的中点.(1)求证:C′E‖面AB′D′;(2)求面AB'D'与面ABD所成锐二面角的余弦值;(3)求四棱锥B'-ABCD与D-高三数学-魔方格来自：
毕业季，你准备好了吗？
爱之光束！（*＾０）ノ♡+*+♡+*+♡+* --来自助手版贴吧客户端
亲，我实在是不想把答案复制粘贴了，一个链接解决所有
楼主小学毕业了吗？
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
我现在是以贴吧会员的尊贵身份帮你顶贴，希望你态度放尊重一些。如果不是只有七天，我才不会拼命水经验
登录百度帐号推荐应用
为兴趣而生，贴吧更懂你。或yoda's cryptor 壳流程分析
作 者: qinxijp代码:这里是一开始壳的加密算法～～,非常简单算法分析: //可逆算法,加密算法 char pMem[] = {0x8B,0x44}; int nSize = 0x0c23 ; //加密的算法 __asm { mov ecx,0x0c23 lea edi...
作 者: qinxijp代码:&这里是一开始壳的加密算法～～,非常简单算法分析: //可逆算法,加密算法& char pMem[] = {0x8B,0x44};& int nSize = 0x0c23 ;& //加密的算法&&& __asm&&& {&&&&& mov ecx,0x0c23&&&&& lea edi,pMem&&&&& mov esi,ediLol1:&&&&& _emit 0xAC&&&&& xor al,0x3a&&&&& add al,cl&&&&& inc al&&&&& xor al,0x33&&&&& xor al,0x1d&&&&& xor al,0x97&&&&& add al,0xf4&&&&& add al,cl&&&&& rol al,0x6f&&&&& add al,cl&&&&& sub al,0x2b&&&&& inc al&&&&& xor al,0x58&&&&& __emit 0xAA&& // stos byte ptre [edi]&&&&& //&&& //& loop Lol1:&&&&&&&& }& //解密的算法&&& __asm&&& {&&&&&&& mov ecx,nSize&&&&&&& lea edi,pMem&&&&&&&& mov esi,ediLop:&&&&& __emit 0xAC& // Lodsb byte ptr [esi]&&&&&&&&&&&&&& xor al,0x58&&&&&&& dec al&&&&&&& add al,0x2b&&&&&&& sub al,cl&&&&&&& ror al,0x6f&&&&&&& sub al,cl&&&&&&& sub al,0xf4&&&&&&& xor al,0x97&&&&&&& xor al,0x1d&&&&&&& xor al,0x33&&&&&&& dec al&&&&&&& sub al,cl&&&&&&& Xor al,0x3a&&&&&&& __emit 0xAA&& // stos byte ptre [edi]&&&&&&&End:&&&&& Loop lop&&&&&&&&&& }&&&&& 6A FF&&&&&&&&&& push&&& -1&&& 68 2A2C0A00&&&& push&&& 0A2C2A&&&&&&&& ; 这个 注意0058F06A&&& 68 38900D00&&&& push&&& 0D9038&&&&&&& ; 注意0058F06F&&& 64:A1 & mov&&&& eax, dword ptr fs:[0]&&& 50&&&&&&&&&&&&& push&&& eax&&& 64:&mov&&&& dword ptr fs:[0], esp0058F07D&&& 58&&&&&&&&&&&&& pop&&&& eax0058F07E&&& 64:A3 & mov&&&& dword ptr fs:[0], eax&&& 58&&&&&&&&&&&&& pop&&&& eax&&& EB 0B&&&&&&&&&& jmp&&&& short &&; //以上代码伪造VC入口点&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08A&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08B&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08C&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08D&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08E&&& 58&&&&&&&&&&&&& pop&&&& eax0058F08F&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 90&&&&&&&&&&&&& nop&&& 90&&&&&&&&&&&&& nop&&& 60&&&&&&&&&&&&& pushad&&& E8 &&&& call&& &&&&&& ; 代码重定位&&& 5D&&&&&&&&&&&&& pop&&&& ebp&&& 81ED 89172A07&& sub&&&& ebp, 72A17890058F09F&&& B9 230C0000&&&& mov&&&& ecx, 0C23&&& 8DBD D1172A07&& lea&&&& edi, dword ptr [ebp+72A17D1]0058F0AA&&& 8BF7&&&&&&&&&&& mov&&&& esi, edi0058F0AC&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]0058F0AD&&& EB 01&&&&&&&&&& jmp&&&& short &&&&& ; 看opcode 为eb 01 也跳到eip+当前指令长度+1的位置,把E9这个给改成NOP0058F0AF& - E9 F890F8F9&&&& jmp&&&& FA5181AC&&& 34 58&&&&&&&&&& xor&&&& al, 58&&& FEC8&&&&&&&&&&& dec&&&& al&&& 04 2B&&&&&&&&&& add&&&& al, 2B0058F0BA&&& 90&&&&&&&&&&&&& nop0058F0BB&&& 2AC1&&&&&&&&&&& sub&&&& al, cl0058F0BD&&& EB 01&&&&&&&&&& jmp&&&& short 0058F0BF&&& C2 F8C0&&&&&&&& retn&&& 0C0F8&&& C8 6F2AC1&&&&&& enter&& 2A6F, 0C1&&& F9&&&&&&&&&&&&& stc&&& 2C F4&&&&&&&&&& sub&&&& al, 0F4&&& 34 97&&&&&&&&&& xor&&&& al, 970058F0CB&&& F9&&&&&&&&&&&&& stc0058F0CC&&& EB 01&& &&&&&&&&jmp&&&& short 0058F0CF0058F0CE&&& C2 341D&&&&&&&& retn&&& 1D34&&& 34 33&&&&&&&&&& xor&&&& al, 33&&& FEC8&&&&&&&&&&& dec&&&& al&&& 2AC1&&&&&&&&&&& sub&&&& al, cl&&& 34 3A&&&&&&&&&& xor&&&& al, 3A&&& EB 01&&&&&&&&&& jmp&&&& short 0058F0DC0058F0DB& - E9 F8AAE2CC&&&& jmp&&&& CD3B9BD8&&& 8B4424 20&&&&&& mov&&&& eax, dword ptr [esp+20]&&&&&&&&& ; 取入口的时候压入的数值&&& 40&&&&&&&&&&&&& inc&&&& eax&&& 78 0A&&&&&&&&&& js&&&&& short &&& C785 7F212A07 0&mov&&&& dword ptr [ebp+72A217F], 1&&& 8D85 51172A07&& lea&&&& eax, dword ptr [ebp+72A1751]&&&& ; 入口点&&& B9 &&&& mov&&&& ecx, 7660058F0FC&&& E8 &&&& call&&& &&&&&&&&&&&&&&&&&&&&&&&& ; 校验&&& A07&& mov&&&& dword ptr [ebp+72A217B], eax&&& 8B85 73212A07&& mov&&&& eax, dword ptr [ebp+72A2173]0058F10D&&& 83E0 01&&&&&&&& and&&&& eax, 1&&& 74 40&&&&&&&&&& je&&&&& short &&& 8DB5 EB222A07&& lea&&&& esi, dword ptr [ebp+72A22EB]&&& 8D85 30182A07&& lea&&&& eax, dword ptr [ebp+72A1830]0058F11E&&& 8946 08&&&&&&&& mov&&&& dword ptr [esi+8], eax&&& 8BFD&&&&&&&&&&& mov&&&& edi, ebp&&& 8D85 09212A07&& lea&&&& eax, dword ptr [ebp+72A2109]&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F12B&&& 50&&&&&&&&&&&&& push&&& eax0058F12C&&& 64:FF33&&&&&&&& push&&& dword ptr fs:[ebx]0058F12F&&& 64:8923&&&&&&&& mov&&&& dword ptr fs:[ebx], esp&&& BD 4B484342&&&& mov&&&& ebp, 4243484B&&& 66:B8 0400&&&&& mov&&&& ax, 40058F13B&&& EB 01&&&&&&&&&& jmp&&&& short 0058F13E0058F13D&&& FFCC&&&&&&&&&&& dec&&&& esp0058F13F&&& 8BEF&&&&&&&&&&& mov&&&& ebp, edi&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx&&& 64:8F03&&&&&&& &pop&&&& dword ptr fs:[ebx]&&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 3C 04&&&&&&&&&& cmp&&&& al, 40058F14B&&& 74 05&&&&&&&&&& je&&&&& short 0058F14D&&& EB 01&&&&&&&&&& jmp&&&& short 0058F14F& - E9 61C38B85&&&& jmp&&&& 85E4B4B5&&& 6B21 2A&&&&&&&& imul&&& esp, dword ptr [ecx], 2A&&& 07&&&&&&&&&&&&& pop&&&& es&&& 0340 3C&&&&&&&& add&&&& eax, dword ptr [eax+3C]&&&&&&&&& ; 定位到NT头0058F15B&&& 05 &&&& add&&&& eax, 80&&&&&&&&&&&&&&&&&&&&&&&&& ; 定位到Directory [输入表]&&& 8B08&&&&&&&&&&& mov&&&& ecx, dword ptr [eax]&&&&&&&&&&&& ; 获取输入表地址&&& 038D 6B212A07&& add&&&& ecx, dword ptr [ebp+72A216B]&&& 83C1 10& &&&&&&&add&&&& ecx, 10&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取FirstThunk0058F16B&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]0058F16D&&& A07&& add&&&& eax, dword ptr [ebp+72A216B]&&& 8B18&&&&&&&&&&& mov&&&& ebx, dword ptr [eax]&&&&&&&&&&&& ; 下面就是获取一些壳需要用到的API&&& 899D F7222A07&& mov&&&& dword ptr [ebp+72A22F7], ebx0058F17B&&& 83C0 04&&&&&&&& add&&&& eax, 40058F17E&&& 8B18&&&&&&&&&&& mov&&&& ebx, dword ptr [eax]&&& 899D FB222A07&& mov&&&& dword ptr [ebp+72A22FB], ebx&&& 8D85 FF222A07&& lea&&&& eax, dword ptr [ebp+72A22FF]0058F18C&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取kernel32极值0058F18D&&& FF95 F7222A07&& call&&& dword ptr [ebp+72A22F7]&&& 8BF0&&&&&&&&&&& mov&&&& esi, eax &&&A07&& mov&&&& dword ptr [ebp+72A230C], eax0058F19B&&& 8D85 10232A07&& lea&&&& eax, dword ptr [ebp+72A2310]&&& E8 C9000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetModuleHandle&&& A07&& mov&&&& dword ptr [ebp+72A2321], eax0058F1AC&&& 8D85 25232A07&& lea&&&& eax, dword ptr [ebp+72A2325]&&& E8 B8000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; VirtualProtect&&& A07&& mov&&&& dword ptr [ebp+72A2334], eax0058F1BD&&& 8D85 38232A07&& lea&&&& eax, dword ptr [ebp+72A2338]&&& E8 A7000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetModuleFileNameA&&& A07&& mov&&&& dword ptr [ebp+72A234B], eax0058F1CE&&& 8D85 4F232A07&& lea&&&& eax, dword ptr [ebp+72A234F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; CreateFileA&&& A07&& mov&&&& dword ptr [ebp+72A235B], eax0058F1DF&&& 8D85 5F232A07&& lea&&&& eax, dword ptr [ebp+72A235F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GlobalAlloc0058F1EA&&& A07&& mov&&&& dword ptr [ebp+72A236B], eax&&& 8D85 6F232A07&& lea&&&& eax, dword ptr [ebp+72A236F]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GlobalFree0058F1FB&&& A07&& mov&&&& dword ptr [ebp+72A237A], eax&&& 8D85 7E232A07&& lea&&&& eax, dword ptr [ebp+72A237E]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; ReadFile0058F20C&&& A07&& mov&&&& dword ptr [ebp+72A2387], eax&&& 8D85 8B232A07&& lea&&&& eax, dword ptr [ebp+72A238B]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; GetFileSize0058F21D&&& A07&& mov&&&& dword ptr [ebp+72A2397], eax&&& 8D85 9B232A07&& lea&&&& eax, dword ptr [ebp+72A239B]&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; CloseHandle0058F22E&&& A07&& mov&&&& dword ptr [ebp+72A23A7], eax&&& 8D85 AB232A07&& lea&&&& eax, dword ptr [ebp+72A23AB]0058F23A&&& E8 &&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; VirtualAlloc0058F23F&&& A07&& mov&&&& dword ptr [ebp+72A23B8], eax&&& 8D85 D2232A07&& lea&&&& eax, dword ptr [ebp+72A23D2]0058F24B&&& E8 1F000000&&&& call&&& 0058F26F&&&&&&&&&&&&&&&&&&&&&&&& ; ExitProcess&&& 8985 DE232A07&& mov&&&& dword ptr [ebp+72A23DE], eax&&& 8D85 BC232A07&& lea&&&& eax, dword ptr [ebp+72A23BC]0058F25C&&& E8 0E000000&&&& call&&& 0058F26F&&& &&&&&&&&&&&&&&&&&&&&&; ReadProcessMemory&&& 8985 CE232A07&& mov&&&& dword ptr [ebp+72A23CE], eax&&& 8D85 69192A07&& lea&&&& eax, dword ptr [ebp+72A1969]0058F26D&&& 50&&&&&&&&&&&&& push&&& eax0058F26E&&&& C3&&&&&&&&&&&&& retn&& //到下面见&&&&& 64:FF35 3000000&push&&& dword ptr fs:[30]0058F27F&&& 58&&&&&&&&&&&&& pop&&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取peb&&& 85C0&&&&&&&&&&& test&&& eax, eax&&& 78 0F&&&&&&&&&& js&&&&& short &&& 8B40 0C&&&&&&& &mov&&&& eax, dword ptr [eax+C]&&&&&&&&&& ; 获取PEB.Ldr&&& 8B40 0C&&&&&&&& mov&&&& eax, dword ptr [eax+C]&&&&&&&&&& ; 获取Ldr.InLoadOrderModuleList0058F28A&&& 0000&add&&&& dword ptr [eax+20], 3000&&&&&&&& ; 当前进程的镜像大小+ 3000&& 这么操作有什么用呢，，，。。。&&& EB 1C&&&&&&&&&& jmp&&&& short 0058F2AF&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 21232A07&& call&&& dword ptr [ebp+72A2321]0058F29B&&& 85D2&&&&&&&&&&& test&&& edx, edx0058F29D&&& 79 10&&&&&&&&&& jns&&&& short 0058F2AF0058F29F&&& 837A 08 FF&&&&& cmp&&&& dword ptr [edx+8], -1&&& 75 0A&&&&&&&&&& jnz&&&& short 0058F2AF&&& 8B52 04&&&&&&&& mov&&&& edx, dword ptr [edx+4]&&& C742 50 0010000&mov&&&& dword ptr [edx+50], 10000058F2AF&&& E8 0A000000&&&& call&& &0058F2BE&&&&&&&&&&&&&&&&&&&&&&&& ; 这里作者加入了很多反调试F7&&0058F2BE&&& FF95 21232A07&& call&&& dword ptr [ebp+72A2321]&&&&&&&&& ; kernel32.GetModuleHandleA&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&& E3 58&&&&&&&&&& jecxz&& short 0058F31F &&&E8 &&&& call&&& &&& ; F7 反调试&&& 51&&&&&&&&&&&&& push&&& ecx&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; ntdll_12.&ModuleEntryPoint&&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]0058F2EA&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&&&&&&&&&&&&&&&&&&&&&&& ; 获取ZwSetInfomationThread0058F2EB&&& E3 32&&&&&&&&&& jecxz&& short 0058F31F0058F2ED&&& 87CF&&&&&&&&&&& xchg&&& edi, ecx0058F2EF&&& E8 &&&& call&&& & F7进入&&&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]0058F30B&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&& 91&&&&&&&&&&&&& xchg&&& eax, ecx&&& E3 0B&&&&&&&&&& jecxz&& short 0058F31F&&& FFD1&&&&&&&&&&& call&&& ecx&&&&&&&&&&&& &&&&&&&&&&&&&&&&&; GetCurrentThread 获取当前线程&&& 6A 00&&&&&&&&&& push&&& 0&&& 6A 00&&&&&&&&&& push&&& 00058F31A&&& 6A 11&&&&&&&&&& push&&& 11&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 压入ThreadHideFromDebugger标志,使当前线程隐藏,起到反调试的作用0058F31C&&& 50&&&&&&& &&&&&&push&&& eax0058F31D&&& FFD7&&&&&&&&&&& call&&& edi0058F31F&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs&&& 32C9&&&&&&&&&&& xor&&&& cl, cl&&& E3 02&&&&&&&&&& jecxz&& short &&& EB 66&&&&&&&&&& jmp&&&& short 0058F38D& &&EB 14&&&&&&&&&& jmp&&&& short 0058F33D&&& 8B4C24 04&&&&&& mov&&&& ecx, dword ptr [esp+4]0058F32D&&& 8B49 04&&&&&&&& mov&&&& ecx, dword ptr [ecx+4]&&& 0 0&add&&&& dword ptr [ecx+B8], 2&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 48&&&&&&&&&&&&& dec&&&& eax0058F33A&&& C2 0400&&&&&&&& retn&&& 40058F33D&&& 60&&&&&&&&&&&&& pushad0058F33E&&& E8 1C000000&&&& call&&& 0058F35F&&&&&&&&& F7&&&&&&&&&&&&&& ; 这里是用SEH 进程反调试&0058F35F&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]&&&&&&&&& ; kernel32.763B0000&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&&&&&&&& ; 获取& SetUnhandledExceptionFilter0058F36B&&& 96&&&&&&&&&&&&& xchg&&& eax, esi0058F36C&&& 8D85 1A1A2A07&& lea&&&& eax, dword ptr [ebp+72A1A1A]&&& 50&&&&&&&&&&&&& push&&& eax&&& FFD6&&&&&&&&&&& call&&& esi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 设置异常捕获函数&&& 97&&&&&&&&&&&&& xchg&&& eax, edi&&&&&&&&&&&&&&&&&&&&&&&& ; 下面就是作者故意触发异常&&& 33D2&&&&&&&&&&& xor&&&& edx, edx&&& F7FA&&&&&&&&&&& idiv&&& edx0058F37A&&& 90&&&&&&&&&&&&& nop0058F37B&&& 90&&&&&&&&&&&&& nop0058F37C&&& CD 01&&&&&&&&&& int&&&& 10058F37E&&& 90&&&&&&&&&&&&& nop0058F37F&&& 90&&&&&&&&& &&&&nop&&& CC&&&&&&&&&&&&& int3&&& 90&&&&&&&&&&&&& nop&&& 90&&&&&&&&&&&&& nop&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 3100&&&&&&&&&&& xor&&&& dword ptr [eax], eax&&& 90&&&&&&&&&&&&& nop&&& 90&& &&&&&&&&&&&nop&&& 57&&&&&&&&&&&&& push&&& edi0058F38A&&& FFD6&&&&&&&&&&& call&&& esi0058F38C&&& 61&&&&&&&&&&&&& popad0058F38D&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& 037F 3C&&&&&&&& add&&&& edi, dword ptr [edi+3C]&&& 8BB5 6B212A07&& mov&&&& esi, dword ptr [ebp+72A216B]&&&& ; PE头0058F39C&&& 8B4F 54&&&&&&&& mov&&&& ecx, dword ptr [edi+54]&&&&&&&&& ; SizeOfHead0058F39F&&& 8D85 10242A07&& lea&&&& eax, dword ptr [ebp+72A2410]&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 保存原属性方式&&& 6A 04&&&&&&&&&& push&&& 4&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 新属性&&& 51&&&&&&&&&&&&& push&&& ecx&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 大小&&& FFB5 6B212A07&& push&&& dword ptr [ebp+72A216B]&&&&&&&&& ; 修改地址0058F3AF&&& FF95 34232A07&& call&&& dword ptr [ebp+72A2334]&&&&&&&&& ; //修改属性VirtualProtect&&& F785 &test&&& dword ptr [ebp+72A2173], 80058F3BF&&& 0F84 A7000000&& je&&&&& 0058F46C&&& 68 &&&& push&&& 1040058F3CA&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]&&& 57&&&&&&&&&&&&& push&&& edi&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 4B232A07&& call&&& dword ptr [ebp+72A234B]&&&&&&&&& ; //获取程序PATH&&& 6A 00&&&&&&&&&& push&&& 00058F3DB&&& 68 &&&& push&&& 80&&& 6A 03&&&&&&&&&& push&&& 3&&& 6A 00&&&&&&&&&& push&&& 0&&& 6A 01&&&&&&&&&& push&&& 1&&& 68 &&&& push&&& 0058F3EB&&& 57&&& &&&&&&&&&&push&&& edi0058F3EC&&& FF95 5B232A07&& call&&& dword ptr [ebp+72A235B]&&&&&&&&& ; 打开自身&&& 83F8 FF&&&&&&&& cmp&&&& eax, -1&&& 75 04&&&&&&&&&& jnz&&&& short 0058F3FB&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& EB 71 &&&&&&&&&&jmp&&&& short 0058F46C0058F3FB&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax0058F3FD&&& 6A 00&&&&&&&&&& push&&& 00058F3FF&&& 57&&&&&&&&&&&&& push&&& edi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 获取自身大小&&& FF95 97232A07&& call&&& dword ptr [ebp+72A2397]&&& 83E8 05&&&&&&&& sub&&&& eax, 5&&& 96&&&&&&&&&&&&& xchg&&& eax, esi0058F40A&&& 56&&&&&&&&&&&&& push&&& esi0058F40B&&& 6A 40&&&&&&&&&& push&&& 40&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 创建一块 自身大小的内存0058F40D&&& FF95 6B232A07&& call&&& dword ptr [ebp+72A236B]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 75 02&&&&&&&&&& jnz&&&& short &&& EB 4A&&&&&&&&&& jmp&&&& short &&& 93&&&&&&&&&&&&& xchg&&& eax, ebx0058F41A&&& 6A 00&&&&&&&&&& push&&& 00058F41C& &&8D85 10242A07&& lea&&&& eax, dword ptr [ebp+72A2410]&&& 50&&&&&&&&&&&&& push&&& eax&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; &dwRead&&& 56&&&&&&&&&&&&& push&&& esi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 要读入字节数&&& 53&&&&&&&&&&&&& push&&& ebx&&&& &&&&&&&&&&&&&&&&&&&&&&&&&; 缓冲区&&& 57&&&&&&&&&&&&& push&&& edi&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; 文件句柄&&& FF95 87232A07&& call&&& dword ptr [ebp+72A2387]0058F42C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F42E&&& 8BCE&&&&&&&&&&& mov&&&& ecx, esi&&& 53&&&&&&&&&&&&& push&&& ebx&&& 57&&&&&&&&&&&&& push&&& edi&&& E8 &&&& call&&& &&&&&&&&&&&&&&&&&&&&&&&& ; 算一个校验 保存起来 后面他会比较&&& A07&& mov&&&& dword ptr [ebp+72A2177], eax0058F43D&&& 5F&&&&&& &&&&&&&pop&&&& edi0058F43E&&& 5B&&&&&&&&&&&&& pop&&&& ebx0058F43F&&& 8D85 4C1B2A07&& lea&&&& eax, dword ptr [ebp+72A1B4C]&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 33C0&&&&&&&&&&& xor&&&& eax, eax0058F44B&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F44D&&& 33D2&&&&&&&&&&& xor&&&& edx, edx0058F44F&&& 8A07&&&&&&&&&&& mov&&&& al, byte ptr [edi]&&& F7E2&&&&&&&&&&& mul&&&& edx&&& 03D8&&&&&&&&&&& add&&&& ebx, eax&&& 42&&&&&&&&&&&&& inc&&&& edx&&& 47&&&&&&&&&&&&& inc&&&& edi& ^ E2 F6&&&&&&&&&& loopd&& short 0058F44F&&& 93&&&&&&&&&&&&& xchg&&& eax, ebx0058F45A&&& C3&&&&&&&&&&&&& retn&&&0058F45B&&& 53&&&&&&&&&&&&& push&&& ebx0058F45C&&& FF95 7A232A07&& call&&& dword ptr [ebp+72A237A]&&&&&&&&& ; 释放&&& 96&&&&&&&&&&&&& xchg&&& eax, esi&&& 50&&&&&&&&&&&&& push&&& eax&&& 57&&&&&&&&&&&&& push&&& edi&&& FF95 A7232A07&& call&&& dword ptr [ebp+72A23A7]&&&&&&&&& ; 关闭句柄0058F46B&&& 58&&&&&&&&&&&&& pop&&&& eax0058F46C&&& E9 0B000000&&&& jmp&&&& 0058F47C&&& 07&&&&&&&&&&&&& pop&&&& es&&& BB &&&& mov&&&& ebx, 1&&& E8 &&&& call&&& 0058F47C&&& 8D85 3E1C2A07&& lea&&&& eax, dword ptr [ebp+72A1C3E]&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn 这个retn后就要到OEP了&&&0058F54D&&& 8B9D 6B212A07&& mov&&&& ebx, dword ptr [ebp+72A216B]&&&& ; hsreg.&&& 039D 6F212A07&& add&&&& ebx, dword ptr [ebp+72A216F]&&& C1CB 07&&&&&&&& ror&&&& ebx, 7& //在这里其实ebx 就指向OEP来看看下面他做什么了0058F55C&&& 895C24 10&&&&&& mov &&&&dword ptr [esp+10], ebx&&& 8D9D 391F2A07&& lea&&&& ebx, dword ptr [ebp+72A1F39]&&& 895C24 1C&&&&&& mov&&&& dword ptr [esp+1C], ebx0058F56A&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& 037F 3C&&&&&&&& add&&&& edi, dword ptr [edi+3C]&&& 8B9F C0000000&& mov&&&& ebx, dword ptr [edi+C0]&&& 83FB 00&&&&&&&& cmp&&&& ebx, 00058F57C&&& 74 0F&&&&&&&&&& je&&&&& short 0058F58D0058F57E&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]&&& 8B43 08&&&&&&&& mov&&&& eax, dword ptr [ebx+8]&&& C700 && mov&&&& dword ptr [eax], 00058F58D&&& 8B85 77212A07&& mov&&&& eax, dword ptr [ebp+72A2177]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 0D&&&&&&&&&& je&&&&& short &&& 3B85 0C242A07&& cmp&&&& eax, dword ptr [ebp+72A240C]&&&& ; 这里就是 判断校验了0058F59D&&& 74 05&&&&&&&&&& je&&&&& short
跳0058F59F&&& E9 AF010000&&&& jmp&&&& &&& 8DB5 83212A07&& lea&&&& esi, dword ptr [ebp+72A2183] 跳到这里0058F5AA&&& F785 &test&&& dword ptr [ebp+72A2173], 20&&& 74 49&&&&&&&&&& je&&&&& short 0058F5FF& 这里也会跳&&& 56&&&&&&&&&&&&& push&&& esi&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]0058F5BD&&& 33C9&&&&&&&&&&& xor&&&& ecx, ecx0058F5BF&&& EB 17&&&&&&&&&& jmp&&&& short &&& 8B56 04&&&&&&&& mov&&&& edx, dword ptr [esi+4]&&& A07&& add&&&& edx, dword ptr [ebp+72A216B]0058F5CA&&& EB 04&&&&&&&&&& jmp&&&& short 0058F5CC&&& 41&&&&&&&&&&&&& inc&&&& ecx0058F5CD&&& 83C2 04&&&&&&&& add&&&& edx, 4&&& 833A 00&&&&&&&& cmp&&&& dword ptr [edx], 0& ^ 75 F7&&&&&&&&&& jnz&&&& short 0058F5CC&&& 83C6 0C&&&&&&&& add&&&& esi, 0C&&& 837E 04 00 &&&&&cmp&&&& dword ptr [esi+4], 00058F5DC& ^ 75 E3&&&&&&&&&& jnz&&&& short 0058F5DE&&& 33D2&&&&&&&&&&& xor&&&& edx, edx&&& B8 &&&& mov&&&& eax, 5&&& F7E1&&&&&&&&&&& mul&&&& ecx&&& 50&&&&&&&&&&&&& push&&& eax&&& 6A 00&&&&&&&&&& push&&& 00058F5EA&&& FF95 6B232A07&& call&&& dword ptr [ebp+72A236B]&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 75 05&&&&&&&&&& jnz&&&& short &&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 61&&&&&&& &&&&&&popad&&& C3&&&&&&&&&&&&& retn&&&&& 8907&&&&&&&&&&& mov&&&& dword ptr [edi], eax0058F5FB&&& 8947 04&&&&&&&& mov&&&& dword ptr [edi+4], eax0058F5FE&&& 5E&&&&&&&&&&&&& pop&&&& esi0058F5FF&&& E9 &&&& jmp&&&&
跳到这里, 继续跳 往下面看&&& 8B1E&&&&&&&&&&& mov&&&& ebx, dword ptr [esi]&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]0058F60C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F60E&&& E8 &&&& call&&& 0058F61B&&& 8D85 1F1D2A07&& lea&&&& eax, dword ptr [ebp+72A1D1F]&&& 50&&&&&&&&&&&&& push&&& eax0058F61A&&& C3&&&&&&&&&&&&& retn&&& 8B1E&&&&&&&&&&& mov&&&& ebx, dword ptr [esi]& 从下面跳上来 取数值&&& 039D 6B212A07&& add&&&& ebx, dword ptr [ebp+72A216B]& 加基址0058F60C&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx0058F60E&&& E8 &&&& call&&& 0058F61B& //这个CALL 里面做的事情是& Lodsb& Ror al,4& Stosb& Esi 指向的内容进行ror ,4 解密, 结束条件是不为0& 这里就是解出了一些DLL名,以及 相关API名称&&& 8D85 1F1D2A07&& lea&&&& eax, dword ptr [ebp+72A1D1F]&&& 50&&&&&&&&&&&&& push&&& eax0058F61A&&& C3&&&&&&&&&&&&& retn& 返回到下面0058f62e0058F61B&&& 56&&&&&&&&&&&&& push&&& esi0058F61C&&& 57&&&&&&&&&&&&& push&&& edi0058F61D&&& 8BF0&&&&&&&&&&& mov&&&& esi, eax0058F61F&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]&&& C0C8 04&&&&&&&& ror&&&& al, 4&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]&&& 803F 00&&&&&&&& cmp&&&& byte ptr [edi], 0&& 也就是这一段 在解密& ^ 75 F6&&&&&&&&&& jnz&&&& short 0058F62B&&& 5F&&&&&&&&&&&&& pop&&&& edi0058F62C&&& 5E&&&&&&&&&&&&& pop&&&& esi0058F62D&&& C3&&&&&&&&&&&&& retn0058F62E&&& 53&&&&&&&&&&&&& push&&& ebx& //retn 到这里 压入解出来的DLL 名称0058F62F&&& FF95 F7222A07&& call&&& dword ptr [ebp+72A22F7]& LoadLibrary( ebx)&&& 85C0&&&&&&&&&&& test&&& eax, eax&&& 0F84 && je&&&&& 0058F63D&&& 50&&&&&&&&&&&&& push&&& eax0058F63E&&& F785 &test&&& dword ptr [ebp+72A2173], 4&&& 74 0E&&&&&&&&&& je&&&&& short 0058F64A&&& 8D85 491D2A07&& lea&&&& eax, dword ptr [ebp+72A1D49]&&& 50&&&&&&&&&&&&& push&&& eax&&& 8BC3&&&&&&&&&&& mov&&&& eax, ebx&&& E9 B4030000&&&& jmp&&&& 0058FA0C&&& 5B&&&&&&&&&&&&& pop&&&& ebx&&& 8B4E 08&&&&&&&& mov&&&& ecx, dword ptr [esi+8] 继续取出来个地址0058F65C&&& 0BC9&&&&&&&&&&& or&&&&& ecx, ecx0058F65E&&& 75 03&&&&&&&&&& jnz&&&& short &&& 8B4E 04&&&&&&&& mov&&&& ecx, dword ptr [esi+4]&&& 038D 6B212A07&& add&&&& ecx, dword ptr [ebp+72A216B]& 加上基址&&& 8B56 04&&&&&&&& mov&&&& edx, dword ptr [esi+4]& 继续取+ 基址0058F66C&&& A07&& add&&&& edx, dword ptr [ebp+72A216B]现在不知道他们里面存的什么东西, 我们往下看看&&&& E9 C3000000&&&& jmp&&&& 0058F73A 跳&&& F701 && test&&& dword ptr [ecx], 0058F67D&&& 75 4B&&&&&&&&&& jnz&&&& short 0058F6CA0058F67F&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]&&& 83C0 02&&&&&&&& add&&&& eax, 2 &&&A07&& add&&&& eax, dword ptr [ebp+72A216B]0058F68A&&& 50&&&&&&&&&&&&& push&&& eax0058F68B&&& E8 8BFFFFFF&&&& call&&& 0058F61B& 解密函数名&&& 58&&&&&&&&&&&&& pop&&&& eax&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 52&&&&&&&&&&&&& push&&& edx&&& 51&&&&&&&&&&&&& push&&& ecx 保护环境&&& 50&&&&&&&&&&&&& push&&& eax&&& 53&&&&&&&&&&&&& push&&& ebx&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB] GetProcess 获取api地址0058F69D&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax0058F69F&&& 75 07&&&&&&&&&& jnz&&&& short &&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx&&& E9 AB000000&&&& jmp&&&& &&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx0058F6AA&&& 60&&&&&&&&&&&&& pushad0058F6AB&&& F785 &test&&& dword ptr [ebp+72A2173], 4&&& 74 0E&&&&&&&&&& je&&&&& short &&& 8D85 B61D2A07&& lea&&&& eax, dword ptr [ebp+72A1DB6]0058F6BD &&&50&&&&&&&&&&&&& push&&& eax0058F6BE&&& 8BC7&&&&&&&&&&& mov&&&& eax, edi&&& E9 &&&& jmp&&&& 0058FA0C&&& 61&&&&&&&&&&&&& popad&&& 8902&&&&&&&&&&& mov&&&& dword ptr [edx], eax 将获取到的地址存到上面第二个获取到的地址&&& EB 19&&&&& &&&&&jmp&&&& short 0058F6CA&&& 52&&&&&&&&&&&&& push&&& edx0058F6CB&&& 51&&&&&&&&&&&&& push&&& ecx0058F6CC&&& 8B01&&&&&&&&&&& mov&&&& eax, dword ptr [ecx]0058F6CE&&& 2D &&&& sub&&&& eax, &&& 50&&&&&&&&&&&&& push&&& eax&&& 53&&&&&&&&&&&&& push&&& ebx&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]0058F6DB&&& 85C0&&&&&&&&&&& test&&& eax, eax0058F6DD&&& 74 74&&&&&&&&&& je&&&&& short 0058F6DF&&& 59&&&&&&&&&&&&& pop&&&& ecx&&& 5A&&&&&&&&&&&&& pop&&&& edx&&& 8902&&&&&&&&&&& mov&&&& dword ptr [edx], eax&&& F785 &test&&& dword ptr [ebp+72A2173], 200058F6ED&&& 74 45&&&&&&&&&& je&&&&& short 0058F6EF&&& 83BD 7F212A07 0&cmp&&&& dword ptr [ebp+72A217F], 0&&& 74 14&&&&&&&&&& je&&&&& short 0058F70C&&& 81FB && cmp&&&& ebx, 0058F6FE&&& 72 08&&&&&&&&&& jb&&&&& short &&& 81FB FFFFFF77&& cmp&&&& ebx, 77FFFFFF&&& 76 0E&&&&&&&&&& jbe&&& &short &&& EB 2A&&&&&&&&&& jmp&&&& short 0058F70A&&& EB 0A&&&&&&&&&& jmp&&&& short 0058F70C&&& 81FB && cmp&&&& ebx, &&& 73 02&&&&&&&&&& jnb&&&& short &&& EB 1E&&&&&&&&&& jmp&&&& short &&& 57&&&&&&&&&&&&& push&&& edi&&& 56&&&&&&&&&&&&& push&&& esi&&& 8DBD 10242A07&& lea&&&& edi, dword ptr [ebp+72A2410]0058F71E&&& 8B77 04&&&&&&&& mov&&&& esi, dword ptr [edi+4]&&& 8932&&&&&&&&&&& mov&&&& dword ptr [edx], esi&&& 2BC6&&&&&&&&&&& sub&&&& eax, esi&&& 83E8 05&&&&&&&& sub&&&& eax, 5&&& C606 E9&&&&&&&& mov&&&& byte ptr [esi], 0E90058F72B&&& 8946 01&&&&&&&& mov&&&& dword ptr [esi+1], eax0058F72E&&& &&&&& add&& &&dword ptr [edi+4], 5&&& 5E&&&&&&&&&&&&& pop&&&& esi&&& 5F&&&&&&&&&&&&& pop&&&& edi&&& 83C1 04&&&&&&&& add&&&& ecx, 4&&& 83C2 04&&&&&&&& add&&&& edx, 40058F73A&&& 8339 00&&&&&&&& cmp&&&& dword ptr [ecx], 00058F73D& ^ 0F85 34FFFFFF&& jnz&&&& & 这里循环解密iat&&& 83C6 0C&&&&&&&& add&&&& esi, 0C&&& 837E 04 00&&&&& cmp&&&& dword ptr [esi+4], 0 跳到这里 做一个判断 里面数值是否为00058F74A& ^/0F85 B4FEFFFF&& jnz&&&& &&2个循环其实就是这样&While ( Import-&Name1 ){& 解密Import-&Name1指向的数据& 加载指向的dll& While (imort-&OriginalFirstTunk) // 这里和上面的 就是构造的大体意思就是这样& {& 判断FirstTunk 是否是序号导入& 跟0x8000000运算& 是的话 就sub -0x& 进行其他操作& 不是话就+2加基址& Call 跟解密dll名称的那个call 进行解密& 调用GetProcAddress ,获取函数地址& 存放到[imort-&FirstThunk] 里& add 上面取到的地址& Add 上面取到的地址& }}&最后的数据0058E28C& 22 12 3C 76 45 12 3C 76 A7 49 3C 76 E0 79 3C 76& &&vE&v &v &v0058E29C& 1E FD 49 75 00 00 00 00 00 00 47 65 74 50 72 6F& ‑ u......GetPro0058E2AC& 63 41 64 64 72 65 73 73 00 00 00 47 65 74 4D 6F& cAddress...GetMo0058E2BC& 64 75 6C 65 48 61 6E 64 6C 65 41 00 00 00 4C 6F& duleHandleA...Lo0058E2CC& 61 64 4C 69 62 72 61 72 79 41 00 00 00 45 78 69& adLibraryA...Exi0058E2DC& 74 50 72 6F 63 65 73 73 00 00 00 4D 65 73 73 61& tProcess...Messa0058E2EC& 67 65 42 6F 78 41 00 90 4D 69 6E 65 49 6D 70 6F& geBoxA. ineImpo0058E2FC& 72 74 5F 45 6E 64 73 73 00 00 00 00 00&&&&&&&&&& rt_Endss.....&&&&&& 33C0&&&&&&&&&&& xor&&&& eax, eax&&& 40&&&&&&&&&&&&& inc&&&& eax&&& 83F8 01&&&&&&&& cmp&&&& eax, 1&&& 74 02&&&&&&&&&& je&&&&& short 0058F75A跳&&& 61&&&&&&&&&&&&& popad&&& C3&&&&&&&&&&&&& retn0058F75A&&& F785 &test&&& dword ptr [ebp+72A2173], 2&&& 74 1D&&&&&&&&&& je&&&&& short & 跳&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs&&& 32C9&&&&&&&&&&& xor&&&& cl, cl0058F76A&&& E3 17&&&&&&&&&& jecxz&& short 0058F76C&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B]&&& B9 &&&& mov&&&& ecx, 112&&& 8BB5 6B212A07&& mov&&&& esi, dword ptr [ebp+72A216B]0058F77D&&& C606 00&&&&&&&& mov&&&& byte ptr [esi], 0&&& 46&&&&&&&&&&&&& inc&&&& esi& ^ E2 FA&&&&&&&&&& loopd&& short 0058F77D&&& 8D85 51172A07&& lea&&&& eax, dword ptr [ebp+72A1751] 取入口点&&& B9 &&&& mov&&&& ecx, 766& 字节数0058F78E&&& EB 01&&&&&&&&&& jmp&&&& short & - E9 E8B1FCFF&&&& jmp&&&& 0055A97D&&& FFEB&&&&&&&&&&& jmp&&&& far ebx&& 这里将E9 变成nop 就会看到是一个计算校验的函数&&&&&&&&&&&&&&&&&&&&&& ; Illegal use of register&&& 01C7&&&&&&&&&&& add&&&& edi, eax&&& 8B9D 7B212A07&& mov&&&& ebx, dword ptr [ebp+72A217B]&&&& ; 校验0058F79F&&& 33C3&&&&&&&&&&& xor&&&& eax, ebx& &&74 08&&&&&&&&&& je&&&&& short 0058F7AB&&& EB 01&&&&&&&&&& jmp&&&& short &&& 2C 61&&&&&&&&&& sub&&&& al, 61&&& EB 01&&&&&&&&&& jmp&&&& short 0058F7AA&&&& 8B9D 7B212A07&& mov&&&& ebx, dword ptr [ebp+72A217B]&&&& ; 校验0058F79F&&& 33C3&&&&&&&&&&& xor&&&& eax, ebx&&& 74 08&&&&&&&&&& je&&&&& short 0058F7AB&&& EB 01&&&&&&&&&& jmp&&&& short &&& 90&&&&&&&&&&&&& nop& 我将这里都改成nop了 不然太难看了&&& 61&&&&&&&&&&&&& popad&&& EB 01 &&&&&&&&&&jmp&&&& short 0058F7AA&&& 90&&&&&&&&&&&&& nop&&&&&&&&&&& nop0058F7AA&&& C3&&&&&&&&&&&&& retn0058F7AB&&& 8DBD B71E2A07&& lea&&&& edi, dword ptr [ebp+72A1EB7]& 取下面的地址, 继续解密 从00&&& 8BF7&&&&&&&&&&& mov&&&& esi, edi&&&& B9 &&&& mov&&&& ecx, 246&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx0058F7BA&&& AC&&&&&&&&&&&&& lods&&& byte ptr [esi]0058F7BB&&& 34 79&&&&&&&&&& xor&&&& al, 790058F7BD&&& 2AC3&&&&&&&&&&& sub&&&& al, bl0058F7BF&&& C0C0 02&&&&&&&& rol&&&& al, 2&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi] 解密&&& 43&&&&&&&&&&&&& inc&&&& ebx& ^ E2 F4&&&&&&&&&& loopd&& short 0058F7BA&&& 1A1B&&&&&&&&&&& sbb&&&& bl, byte ptr [ebx]解密以后的数据是这样&&&& 8D85 E2232A07&& lea&&&& eax, dword ptr [ebp+72A23E2]0058F7CC&&& 50&&&&&&&&&&&&& push&&& eax0058F7CD&&& FFB5 0C232A07&& push&&& dword ptr [ebp+72A230C]&&& FF95 FB222A07&& call&&& dword ptr [ebp+72A22FB]&&&&&&&&& ; //获取IsDeggerPresent 地址&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax0058F7DB&&& 74 08&&&&&&&&&& je&&&&& short 0058F7DD&&& FFD0&&&&&&&&&&& call&&& eax 使用IsDeggerPresent&& 反调试0058F7DF&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 02&&&&&&&&&& je&&&&& short
跳&&& 61&&&&&&&&&&&&& popad&&& C3&&&&&&&&&&&&& retn&&& F785 &test&&& dword ptr [ebp+72A2173], 1 这里0058F7EF&&& 74 4F&&&&&&&&&& je&&&&& short & 继续跳&&& 8DB5 EB222A07&& lea&&&& esi, dword ptr [ebp+72A22EB]&&& 8D85 0C1F2A07&& lea&&&& eax, dword ptr [ebp+72A1F0C]0058F7FD&&& 8946 08&&&&&&&& mov&&&& dword ptr [esi+8], eax&&& 33DB&&&&&&&&&&& xor&&&& ebx, ebx&&& 8D85 3A212A07&& lea&&&& eax, dword ptr [ebp+72A213A]&&& 50&&&&&&&&&&&&& push&&& eax&&& 64:FF33&&&&&&&& push&&& dword ptr fs:[ebx]0058F80C&&& 64:8923&&&&&&&& mov&&&& dword ptr fs:[ebx], esp0058F80F&&& 8BFD&&&&&&&&&&& mov&&&& edi, ebp&&& B8 &&&& mov&&&& eax, 4400&&& EB 01&&&&&&&&&& jmp&&&& short &&& C7&&&&&&&&&&&&& ???&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ; Unknown command&&& CD 68&&&&&&&&&& int&&&& 680058F81B&&& 33DB&&&&&&&&&&& xor& &&&ebx, ebx0058F81D&&& 64:8F03&&&&&&&& pop&&&& dword ptr fs:[ebx]&&& 83C4 04&&&&&&&& add&&&& esp, 4&&& 66:81FF 9712&&& cmp&&&& di, 1297&&& 74 0E&&&&&&&&&& je&&&&& short 0058F82A&&& 66:81FF 7712&&& cmp&&&& di, 12770058F82F&&& 74 07&&&&&&&&&& je&&&&& short &&& 66:81FF 3013&&& cmp&&&& di, 1330&&& 75 08&&&&&&&&&& jnz&&&& short &&& EB 01&&&&&&&&&& jmp&&&& short 0058F83B0058F83A&&& FF61 EB&&&&&&&& jmp&&&& dword ptr [ecx-15]0058F83D&&& 01E8&&&&&&&&&&& add&&&& eax, ebp0058F83F&&& C3&&&&&&&&&&&&& retn&&& 8D85 6B1F2A07&& lea&&&& eax, dword ptr [ebp+72A1F6B] 跳到这里&&& 50&&&&&&&&&&&&& push&&& eax&&& C3&&&&&&&&&&&&& retn& 继续往下看&&& 55&&&&&&&&&&&&& push&&& ebp&&& 8BEC&&&&&&&&&&& mov&&&& ebp, esp0058F84B&&& 57&&&&&&&&&&&&& push&&& edi0058F84C&&& 8B45 10&&&&&&&& mov&&&& eax, dword ptr [ebp+10]0058F84F&&& 8BB8 C4000000&& mov&&&& edi, dword ptr [eax+C4]&&& FF37&&&&&&&&&&& push&&& dword ptr [edi]&&& 33FF&&&&&&&&&&& xor&&&& edi, edi&&& 64:8F07&&&&&&&& pop&&&& dword ptr fs:[edi]0058F85C&&& 0 0&add&&&& dword ptr [eax+C4], 8&&& 8BB8 A4000000&& mov&&&& edi, dword ptr [eax+A4]&&& C1C7 07&&&&&&&& rol&&&& edi, 70058F86C&&& 89B8 B8000000&& mov&&&& dword ptr [eax+B8], edi&&& B8 &&&& mov&&&& eax, 0&&& 5F&&&&&&&&&&&&& pop&&&& edi&&& C9&&&&&&&&&&&&& leave&&& C3&&&&&&&&&&&&& retn0058F87A&&& 8CC9&&&&&&&&&&& mov&&&& cx, cs 跳这里0058F87C&&& 32C9&&&&&&&&&&& xor&&&& cl, cl0058F87E&&& 0BC9&&&&&&&&&&& or&&&&& ecx, ecx&&& 0F84 A0000000&& je&&&&& &&& 6A 40&&&&&&&&&& push&&& 40&&& 68 &&&& push&&& 80010000058F88D&&& 68 &&&& push&&& 69&&& 6A 00&&&&&&&&&& push&&& 0&&& FF95 B8232A07&& call&&& dword ptr [ebp+72A23B8]0058F89A&&& A07&& mov&&&& dword ptr [ebp+72A201C], eax&&& 8BF8&&&&&&&&&&& mov&&&& edi, eax&&& 8DB5 4E202A07&& lea&&&& esi, dword ptr [ebp+72A204E]&&& 68 &&&& push&&& 690058F8AD&&& 59&&&&&&&&&&&&& pop&&&& ecx0058F8AE&&& F3:A4&&&&&&&&&& rep&&&& movs byte ptr es:[edi], byte ptr&&&& 8BD8&&&&&&&&&&& mov&&&& ebx, eax&&& 55&&&&&&&&&&&&& push&&& ebp&&& 8F83 && pop&&&& dword ptr [ebx+61]&&& FFB5 DE232A07&& push&&& dword ptr [ebp+72A23DE]0058F8BF&&& 8F83 && pop&&&& dword ptr [ebx+65]&&& 8B85 CE232A07&& mov&&&& eax, dword ptr [ebp+72A23CE]0058F8CB&&& 83C0 05&&&&&&&& add&&&& eax, 50058F8CE&&& 0&& mov&&&& dword ptr [ebx+53], eax&&& 8D7B 4D&&&&&&&& lea&&&& edi, dword ptr [ebx+4D]&&& 8BB5 CE232A07&& mov&&&& esi, dword ptr [ebp+72A23CE]0058F8DD&&& 803E E9&&&&&&&& cmp&&&& byte ptr [esi], 0E9&&& 74 07&&&&&&&&&& je&&&&& short &&& 6A 05&&&&&&&&&& push&&& 5&&& 59&&&&&&&&&&&&& pop&&&& ecx&&& F3:A4&&&&&&&&&& rep&&&& movs byte ptr es:[edi], byte ptr&&&& EB 0D&&&&&&&&&& jmp&&&& short &&& 8B46 01&&&&&&&& mov&&&& eax, dword ptr [esi+1]0058F8EC&&& 03C6&&&&&&&&&&& add&&&& eax, esi0058F8EE&&& 2BC7&&&&&&&&&&& sub&&&& eax, edi&&& 8947 01&&&&&&&& mov&&&& dword ptr [edi+1], eax&&& C607 E9&&&&&&&& mov&&&& byte ptr [edi], 0E9&&& 50&&&&&&&&&&&&& push&&& eax&&& 0F014C24 FE&&&& sidt&&& fword ptr [esp-2]0058F8FC&&& 5F&&&&&&&&&&&&& pop&&&& edi0058F8FD&&& 83C7 20&&&&&&&& add&&&& edi, 20&&& 8B4F 04 &&&&&&&&mov&&&& ecx, dword ptr [edi+4]&&& 66:8B0F&&&&&&&& mov&&&& cx, word ptr [edi]&&& FA&&&&&&&&&&&&& cli&&& 8DB5 24202A07&& lea&&&& esi, dword ptr [ebp+72A2024]0058F90D&&& 66:8937&&&&&&&& mov&&&& word ptr [edi], si& &&C1EE 10&&&&&&&& shr&&&& esi, 10&&& 66:8977 06&&&&& mov&&&& word ptr [edi+6], si&&& FB&&&&&&&&&&&&& sti&&& CD 04&&&&&&&&&& int&&&& 40058F91A&&& FA&&&&&&&&&&&&& cli0058F91B&&& 66:890F&&&&&&&& mov&&&& word ptr [edi], cx0058F91E&&& C1E9 10&&&&&&&& shr&&&& ecx, 10&&& 66:894F 06&&&&& mov&&&& word ptr [edi+6], cx&&& FB&&&&&&&&&&&&& sti&&& E9 9B000000&&&& jmp&&&&
跳这里 继续跳0058F92B&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F92D&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F92F&&& 26:35 B20460E8& xor&&&& eax, E86004B2&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 5D&&&&&&&&&&&&& pop&&&& ebp0058F93A&&& 81ED 2A202A07&& sub&&&& ebp, 72A202A&&& 8B85 1C202A07&& mov&&&& eax, dword ptr [ebp+72A201C]&&& 2B85 CE232A07&& sub&&&& eax, dword ptr [ebp+72A23CE]0058F94C&&& 83E8 05&&&&&&&& sub&&&& eax, 50058F94F&&& 8B8D CE232A07&& mov&&&& ecx, dword ptr [ebp+72A23CE]&&& C601 E9&&&&&&&& mov&&&& byte ptr [ecx], 0E9&&& 8941 01&&&&&&&& mov&&&& dword ptr [ecx+1], eax0058F95B&&& 61&&&&&&&&&&&&& popad0058F95C&&& CF&&&&&&&&&&&&& iretd0058F95D&&& 9C&&&&&&&&&&&&& pushfd0058F95E&&& 60&&&&&&&& &&&&&pushad0058F95F&&& E8 &&&& call&&& &&& 5D&&&&&&&&&&&&& pop&&&& ebp&&& 81ED 55202A07&& sub&&&& ebp, 72A20550058F96B&&& 8B7424 28&&&&&& mov&&&& esi, dword ptr [esp+28]0058F96F&&& 8D85 AB202A07&& lea&&&& eax, dword ptr [ebp+72A20AB]&&& 50&&&&&&&&&&&&& push&&& eax&&& 6A 04&&&&&&&&&& push&&& 4&&& 8D85 A7202A07&& lea&&&& eax, dword ptr [ebp+72A20A7]0058F97E&&& 50&&&&&&&&&&&&& push&&& eax0058F97F&&& B8 20202A07&&&& mov&&&& eax, 72A2020&&& 0385 AF202A07&& add&&&& eax, dword ptr [ebp+72A20AF]0058F98A&&& 50&&&&&&&&&&&&& push&&& eax0058F98B&&& 56&&&&&&&&&&&&& push&&& esi0058F98C&&& E8 &&&& call&&& 0058F9AA&&& 0BC0&&&&&&&&&&& or&&&&& eax, eax&&& 74 13&&& &&&&&&&je&&&&& short &&& B8 &&&& mov&&&& eax, 4B235260058F99A&&& A07&& cmp&&&& dword ptr [ebp+72A20A7], eax&&& 75 06&&&&&&&&&& jnz&&&& short &&& FF95 B3202A07&& call&&& dword ptr [ebp+72A20B3]&&& 61&&&&&&&&&&&&& popad&&& 9D&&&&&&&&&&&&& popfd0058F9AA&&& 55&&&&&&&&&&&&& push&&& ebp0058F9AB&&& 8BEC&&&&&&&&&&& mov&&&& ebp, esp0058F9AD&&& 56&&&&&&&&&&&&& push&&& esi0058F9AE&&& 57&&&&&&&&&&&&& push&&& edi0058F9AF&&& B8 4E61BC00 &&&&mov&&&& eax, 0BC614E&&& FFE0&&&&&&&&&&& jmp&&&& eax&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F9BA&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al0058F9BC&&& 0000&&&&&&&&& &&add&&&& byte ptr [eax], al0058F9BE&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& 0000&&&&&&&&&&& add&&&& byte ptr [eax], al&&& FC&&&&&&&&&&&&& cld& 跳这里&&& 8BBD 6B212A07&& mov&&&& edi, dword ptr [ebp+72A216B] 获取基址0058F9CD&&& 83C7 70&&&&&&&& add&&&& edi, 70&&& 8D85 CA202A07&& lea&&&& eax, dword ptr [ebp+72A20CA] 取字符Foxlock&&&& AB&&&&&&&&&&&&& stos&&& dword ptr es:[edi]&&& EB 08&&&&&&&&&& jmp&&&& short
跳&&& 46&&&&&&&&&&&&& inc&&&& esi0058F9DA&&& 6F&&&&&&&&&&&&& outs&&& dx, dword ptr es:[edi]0058F9DB&&& 78 4C&&&&&&&&&& js&&&&& short 0058FA290058F9DD&&& 6F&&&&&&&&&&&&& outs&&& dx, dword ptr es:[edi]0058F9DE&&& 636B 00&&&&&&&& arpl&&& word ptr [ebx], bp&&& 32C0&&&&&&&&&&& xor&&&& al, al 跳这里&&& 8DBD 51172A07&& lea&&&& edi, dword ptr [ebp+72A1751] 取入口点&&& B9 E8070000&&&& mov&&&& ecx, 7E8 数量0058F9EE&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]0058F9EF& ^ E2 FD&&&&&&&&&& loopd&& short 0058F9EE&&&&&&&&&&&&&&&&&& ; 这里是删除 壳的代码&&& 8DBD FD202A07&& lea&&&& edi, dword ptr [ebp+72A20FD] &&& B9 F7020000&&&& mov&&&& ecx, 2F70058F9FC&&& AA&&&&&&&&&&&&& stos&&& byte ptr es:[edi]& 继续删下面的代码 用来构造异常0058F9FD& ^ E2 FD&&&&&&&&&& loopd&& short 0058F9FC0058F9FF&&& 61&&&&&&&&&&&&& popad0058FA00&&& 50&&&&&&&&&&&&& push&&& eax0058FA01&&& 33C0&&&&&&&&&&& xor&&&& eax, eax0058FA03&&& 64:FF30&&&&&&&& push&&& dword ptr fs:[eax]0058FA06&&& 64:8920&&&&&&&& mov&&&& dword ptr fs:[eax], esp&&&&&&&&& ; 构造SEH0058FA09&&& EB 01&&&&&&&&&& jmp&&&& short 0058FA0C&&&&&&&&&&&&&&&&&& ; 触发异常,，& 这里跳向入口点的时候, 是在Se handle 里 把eip指向的入口点 0058FA0B&&& 87EB&&&&&&&&&&& xchg&&& ebx, ebp跳向入口点的时候, 作者用了seh机制来跳，，这个第一次看到,给我等菜鸟提供了一个新的思路～～～～&通过分析这个壳, 学到了不少新东西,～～～～～文内有许多分析不怎么对的地方,望各位看官,多多包涵, 多多指出错误之处～～～～
无相关信息
Copyright & 2016 Ninxun All Rights Reserved
您讯公司 版权所有}
我要回帖
更多关于 证明四边形全等 的文章
更多推荐
- ·想听广东人叫我一声靓女听的电台
- ·科目三起步六个口诀道路在前方歌词叫什么啊
- ·科目三全名叫什么的考试歌曲叫什么名字？
- ·快手直播有怎么开直播需要什么条件件吗？
- ·淘宝上的牛仔裤哪个牌子好裤子质量好吗？
- ·已知方程组x+y=7,ax+2y=c,使方程：（1）有一个解：（2）有无数个解：（3）无解肥
- ·为什么初二英语作文的英语很烦
- ·我报了今年4月的川师大自考论文答辩开场白，但我没选指导老师和进行论文写作，也没参加答辩，现在，我想报今
- ·读了描写仙企鹅破解小组登陆的句子,想象当时的情景,想说什么
- ·3377填上运算符号使的得数是24 ，对于小学三年级四则运算学生应该怎么做？
- ·躲v是什么词性性
- ·1至500兀(sql 保留两位小数数)
- ·用测速发电机原理测量转速 在应用上有何特点？
- ·不要再说刚才说过的话了意思相反的词语的词语是
- ·We are new actresses(改为单数将句子改为直接引语）
- ·你难道不会被这里的一切深深醉吗？改为陈述句改为反问句
- ·(=@__@=)陈芳语是哪里人？可以免费学语数外物！
- ·会计证好考吗？自学考会计证还是找人教学的快些？哪位老师能给我推荐个比较好的会计培训学校
- ·江西省自考报名2012年4月份自考成绩多少分及格
- ·17作业的全班大爆料吧从哪里进去
- ·急求：全等四边形的判定ABCD全等于A'B'C'D'，而且AB:BC:CD:DA=1：1/2：2/3：2，若全等四边形的判定A'B'C'D'
- ·财 付 通 保 证 金 一 千 元 怎 么 退 ※
- ·读了这篇文章,你一定深有感触,请把你心理话把眼泪凝成珍珠一句话,并且用上“盼望”一词,写在
- ·五年级下册作文评语语文下册第七单元作文，要幽默的，好笑的
- ·小石潭记导游词 选出与“佁然不动”中的“然”字用法相同的一项是
- ·哪些会到成都理工大学图书馆招聘毕业生
- ·关于新浪微博安卓微博客户端客户端发图片问题...
- ·请问，转化学困生转化案例有什么实用的方法？
- ·如何怎么获得财富值值
- ·谁有总结过asp.net 日期控件所有控件的所有事件呀？
- ·南昌有什么好点的电子商务托管服务商服务商么
- ·网络红人的qq宝宝qq多少
- ·WIN2003上如何查看mysql 创建账户账户信息
- ·怎么用手机怎么开qq会员上QQ查找QQ群组
- ·齐博影视传媒系统的影视怎么不能全屏观看
- ·怎样把word里面公式编辑器的cad文件再弄到CAD里面编辑？
