惡意代碼分析實戰 Lab15

lab15-01 在每一個跳轉地址前面都有一個E8,把他標識爲數據,程序就出來了 第一個比較,要求命令行參數是兩個,其中一個是程序名 接着是取出第二個參數的第一個字節作比較,可以知道參數是pdq lab15-02 修正過程中就兩個地方注意一下,其他的都跟第一題一個手法 第一個是如下圖,原來是個jmp語句跳到FF開始執行,也就是另一種翻譯做inc和dec,所以這一段其實沒有意義,選擇翻譯成第二個圖就

>>阅读原文<<