天天爱天天做天天做天天吃中文|久久综合给久合久久综合|亚洲视频一区二区三区|亚洲国产综合精品2022

汶上信息港

標(biāo)題: 實(shí)現(xiàn)調(diào)用加殼的外殼中的子程序的一點(diǎn)見(jiàn)解 [打印本頁(yè)]

作者: hbhdgpyz 時(shí)間: 2008-9-28 16:31
標(biāo)題: 實(shí)現(xiàn)調(diào)用加殼的外殼中的子程序的一點(diǎn)見(jiàn)解
加殼往往是實(shí)現(xiàn)對(duì)原PE的節(jié)數(shù)據(jù)加密、壓縮，若能加殼的同時(shí)，讓加殼后的程序調(diào)用殼中的某些子程序，那加殼強(qiáng)度大大增加。這樣處理后，即使脫掉了殼，程序執(zhí)行也肯定不正常，因?yàn)槊摎さ耐瑫r(shí)也將這些子程序脫掉了！ 
    怎樣實(shí)現(xiàn)呢？作為探討性的介紹，還是搞一個(gè)最基本的來(lái)說(shuō)（假設(shè)現(xiàn)在您已經(jīng)會(huì)寫PE-exe、PE-dll等PE加殼程序）： 
    我的實(shí)現(xiàn)是這樣的：作為一個(gè)PE文件，多多少少程序中會(huì)有mov eax,1或mov eax,0的語(yǔ)句，就是從這里開(kāi)刀，因?yàn)?lt;/SPAN>mov eax,xxxxxxxx這樣的指令長(zhǎng)度正好與Call xxxxxxxx指令的長(zhǎng)度一樣，處理起來(lái)相對(duì)簡(jiǎn)單。在加殼程序加殼時(shí)，查找這些語(yǔ)句統(tǒng)統(tǒng)換成： 
call shellSub 
// 
shellSub實(shí)現(xiàn)如下： 
shellSub() 
{ 
  mov eax,1 或 mov eax,0 
} 
    當(dāng)然，這里有個(gè)問(wèn)題是怎樣計(jì)算這個(gè)Call xxxxxxxx的xxxxxxxx，其實(shí)想一想也很簡(jiǎn)單，加殼時(shí)候我們已經(jīng)計(jì)算出了外殼程序的入口RVA，只要以這個(gè)RVA為基準(zhǔn)，就可以得到:(shellSub的RVA)-(mov eax,1的RVA)的差值，這個(gè)差值再減去5（Call的指令長(zhǎng)度）就是xxxxxxxx。 
    這里僅僅拋磚引玉的介紹了最基本的方法，其實(shí)通過(guò)變化，可以對(duì)原程序的很多特定語(yǔ)句實(shí)現(xiàn)改成調(diào)用外殼中不同的sub，大大增加了外殼的保密強(qiáng)度。 
    這樣處理后，可想而知，脫殼后的運(yùn)行情況：Windows錯(cuò)誤，某個(gè)地址不能為讀或?qū)?。。呵呵，要的就是這個(gè)效果！?。?lt;/SPAN> 
    錯(cuò)誤之處，懇請(qǐng)各位高手指正！

歡迎光臨汶上信息港 (http://vancelump.com/)