何须浅碧深红色， 自是花中第一流

来源 伪装成 360 的病毒_360社区 在线沙盒 样本报告-微步在线云沙箱 (threatbook.com) 分析函数 DLLEntryPoint 流程简单，先检测环境后隐藏窗口，开始构建并运行 检测失败就重启 CheckEnvironment CheckEXE 核对一下input的exe名和当前运行的是否是一个ex…

样本来源 WindowsEvent 病毒木马程序 - 吾爱破解 - 52pojie.cn 分析 WindowsEvent.exe Start 初始化函数被我重命名了一下 Init() 对应的结果我都注释好了 DeAPIStr 实际上就是一个异或操作，动态调试提取即可 LoadDLLBase 简单优化了一下伪c sub_…

堆栈平衡 如果要返回父程序，则当我们在堆栈中进行堆栈的操作的时候，一定要保证在RET这条指令之前，ESP指向的是我们压入栈中的地址 如果通过堆栈传递参数了，那么在函数执行完毕后，要平衡参数导致的堆栈变化

修改内存

缺点：要平衡栈

标志寄存器：EFLAGS CF[0] 若算数操作产生的结果在最高有效位发成进位或者错位则将其置1，反之清零 这个标志通常用来只是无符号整形运算的溢出状态 PF[2] 如果结果的最低有效字节包含偶数个1位则该位置1，否则清零 常用于数据核对 AF[4] 如果算数操作在结果的第3位发生进位或借位则将该位置1，否则清零 常用…

什么是堆栈 就是一块内存，操作系统在程序启动的时候已经分配好的，供程序执行时使用 和数据结构的堆栈无关 PUSH指令 POP指令

JMP指令 本质 CALL指令 本质 修改EIP的同时，对堆栈有影响，会把CALL下面指令的地址压入栈中（也就是esp-4，把值压到栈顶） RET指令 本质 和CALL相反，把栈顶的值放到EIP，ESP加4

什么是函数 函数就是一系列指令的集合，为了完成某个会重复使用的特定功能 例子：向寄存器中赋值 如何执行一个函数 JMP CALL

修改栈顶地址 f8就飞了

内存地址 内存太大没法起名字，所以只能用编号。当我们想向内存中存储数据，或者从内存中读取数据时，必须用到这个编号，就像写信必须要写收信人地址一样。 这个编号又称为内存地址

形式一 Mov eax,dword ptr ds:[0x1111] 形式二 Mov eax,0x1111 Mov dword ptr ds:[eax],0x1234568 形式三 Mov ecx,0x1011 Mov eax,dword ptr ds:[ecx+4] 形式四 Mov eax,0x1111 Mov ecx…

存储模式 小端模式：数据低位在低位，数据高位在高位 大端模式：数据高位在低位，数据低位在高位

MOV指令 r8 ：8 位寄存器，例如 AL r16 ：16 位寄存器，例如 AX r32 ：32 位寄存器，例如 EAX r64 ：64 位寄存器，例如 RAX r/m8 ：8 位寄存器或内存 imm8 ：8 位立即数 ADD指令 SUB指令 AND指令 OR指令 XOR指令 NOT指令 MOVS指令 DF标志寄存器…