惡意代碼分析實戰 Lab19

lab19-01 1IDApro打開看到解碼代碼如下 od調試的時候顯示說無法作爲及時調試器調試,所以只能用windbg,雖然麻煩了點 解碼後程序先跳到003a0464 接着在464處,馬上調用003a03bf函數 步入查看程序又調用003a039e函數 步入查看函數,這段函數很短,可以很容易看出來是在得到kernel32的base地址,看30h是的搭配peb結構地址,1ch是得到InInitia

>>阅读原文<<