一個shellcode樣本逆向分析

首先：shellcode分爲代碼和數據兩部分 代碼部分：負責解密數據部分，並跳轉到數據部分偏移8處開始執行。 數據部分：第一個4字節是首次異或加密的key；第二個4字節是實際數據部分長度(已異或加密)；剩餘部分是按每4字節異或加密實際數據部分(實際是一個dll文件) 代碼如下： sub_430070( )函數解密完數據部分後，發現是一個pe文件(實際是一個dll)，存在內存中的pe文件(雖然在內存

>>阅读原文<<