惡意代碼分析實戰 Lab21

lab21-01 1lab09-02還記得話是需要改程序名才能正確運行,所以,程序不會發生什麼 額,我的IDApro識別出來main 修改下面的jz位jmp 其中r11是之前getmodulname得到的當前程序名,另一個由ocl.exe編碼得到,windbg查看位jzm 只有一個ecx 圖中只給出了9個參數的註釋,還缺一個commandline參數,這個這個函數應該是創建cmd進程,所以rdx應

>>阅读原文<<