《木马特征码的一般修改》由会员分享，可在线阅读，更多相关《木马特征码的一般修改（4页珍藏版）》请在金锄头文库上搜索。
1、1、定位在cmp或test后的判断跳转，je、jz如此之类的. 遇到这样的，我一般都会把它们改成 jmp 就能过，当然也要看看上下代码的意思，不然可能 出错 . 个人认为这样修改的效果还是不错的.2、 定位在跳转后的地址，如je xxxxxxxx ， jmp xxxxxxxx 之类的 xxxxxxxx 上. 一般遇到是判断跳转的 je ， jnz 的 . 按照第一个方法把跳转符改改就能过 . 如把 je 改成 jmp. 遇到是 jmp xxxxxxxx 的，就试试看下面有没有空位构造下 push xxxxxxxxret或者可以把 jmp xxxxxxxx ，用跳转转移到其它地方 .3、定位在
2、call eax 之类上 . 把它改成 push eax 或其它 .4、定位在 call 上的 .先跟进call后面的地址看看，因为有时候那里往上拉一句就可能会有NOR之类的语句，那么我们把 call 后面的地址向前移一位就可以过.如果没有NOR我们可以用跳转转移5、定位在 OR或者XOR上.把 OR改 XOR或者 XOR改 OR.6、定位在 mov语句上，女口 MOV DWORD PTR SS:ESP+14,ESI. 我们可以把它改成 mov esp,esiadd esp,147、定位在 cmp语句，女口 cmp eax,espjnz xxxxxxxx那么遇到这样的，我们可以把这两句NOP掉
3、，然后加上jmp xxxxxxxx，这里意思就是我们不要那个比较，把代码直接跳到 xxxxxxxx 上运行 遇到 test 这样的也可以试试这个方法 .8、 定位在字符串上，但是不能用改大小写的方法修改，修改就出错.例如pcshare有一个定位在“ s%s%s上的 我们可以首先用 C32把s%s%”向前移一位， 然后用OD载入，右键，超级字符串参考查找ASCII,然后找到所有的“s%s%S,由于我们向前移了一位，所以显示的应该是“s%s%S,然后双击来一个个修改 . 双击后会发现，对应的语句会有一个地址，我们把它改掉，向前一位，如4AD05168就改成4AD05167,接着同样方法继续改其它有
4、“ s%s%s的这个方法通用字符串的修改 .总结 :上面的只不过是我在免杀时的一些经验. 实际免杀还需要读懂上下代码，实际分析，并不代表按照上面这样改就一定可以 .做人要灵活，方法都是自己悟出来的，没什么完美的通用方法 . 自己的免杀方法才是最好的 特征码修改总结 21. 遇到特征码定位在 jmp 指令上面的 构造替换 push xxxxx ret 。举例 : jmp xxxxx构造替换 push xxxxx ret2. 遇到特征码定位在 call 指令上的。举例 :call xxxxx构造替换 : push fjmp xxxxx:； 的标号表示的是你 jmp xxxx 指令后面的内存地址。
5、f 也就是引用 的标号，所以此 时f这里填写的就是jmp xxxxx指令后面的内存地址。3. 遇到特征码定位在 ret 上举例 : ret构造替换 : jmp dword ptr esp4. 遇到特征码定位在 test eax, eax je xxxx or eax, eax, je xxxxx cmp eax, 0 jexxxxxx 举例 : test eax, eaxje xxxxxx构造替换 : xchg eax, ecxjecxz xxxxx5. 遇到特征码定位在 push xxxxxx 上的。举例： push xxxxx构造 :在其之前通过 xchg xxxxxx, ebx然后用寄存
6、器传参 : push ebx最后在下面在通过 xchg xxxxxx, ebx 交换回来。6. 把之前我教的数据段动态恢复和巧用算法加密结合起来。 前提是对汇编大家一定要有所了解，例如一些会员说金山杀的是配置信息上，你完全可以将其这些配置信息所处的地址的数据进行一 层加密。或者你可以将其这些偏移所处的数据 通过 xchg 交换。dll 注意下 要进行重定位call $+5 ; 机器码是 E8 00000000 00000000 是相对地址: pop ebxsub ebx, bTEXT EAX,EAX 改为 AND EAX,EAX面你就可以通过 ebx+ 你的偏移 来进行变址寻址了。如果觉得本文写得有什么错误或不对, 请各位提出啊 ！
