木马高级免杀修改特征码需要熟练掌握的全部汇编知识 WK-WA$7\
一.机械码,又称机器码.<br> UPH:$Fk&
ultraedit打开,编辑exe文件时你会看到<br> "[76>\'H
许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码<br> t<rhrW75P
就是机器码.<br> )
b?HK SqI
修改程序时必须通过修改机器码来修改exe文件. Gt' %:9r
二.需要熟练掌握的全部汇编知识(只有这么多)<br> P7Kp*He)
不大容易理解,可先强行背住,混个脸儿熟,以后慢慢的就理解了<br> 0EOpK%{
cmp a,b 比较a与b<br> 0]&~ddL
mov a,b 把b的值送给a<br> W,:*`
ret 返回主程序<br> lf&g *%?1
nop 无作用,英文“no operation”的简写,意思是“do nothing”(机器码90)***机器码的含义参看上面<br> 9 u{#S}c`
(解释:ultraedit打开编辑exe文件时你看到90,等同于汇编语句nop)<br> 7i`8 c =.
call 调用子程序<br> !ce5pA
je 或jz 若相等则跳(机器码74 或0F84)<br> pno]Bld'z
jne或jnz 若不相等则跳(机器码75或0F85)<br> <rNCb;
jmp 无条件跳(机器码EB)<br> s+l)Q
jb 若小于则跳<br> D3N\$ D
ja 若大于则跳<br> q<dZy? f
jg 若大于则跳<br> WbB0{s
jge 若大于等于则跳<br> @Pb!:HeJE
jl 若小于则跳<br> *%bQ p
jle 若小于等于则跳<br> Q)#+S(TG
pop 出栈<br> D<78Tm
x
push 压栈 '#L.w6<B
三.常见修改(机器码)<br> ,onOwPz
74=>75 74=>90 74=>EB<br> =J:6p-\*
75=>74 75=>90 75=>EB 5srj|'ja
jnz->nop<br> lu2"?y[2
75->90(相应的机器码修改) 9Kf# jZ
jnz -> jmp<br> h2<Y*j
75 -> EB(相应的机器码修改) v0v%+F#>@
jnz -> jz<br> OiAP%7i9
75->74 (正常) 0F 85 -> 0F 84(特殊情况下,有时,相应的机器码修改) '@t}8J
四.两种不同情况的不同修改方法<br> 9O1#%
1.修改为jmp<br> M@%$9N)gd
je(jne,jz,jnz) =>jmp相应的机器码EB (出错信息向上找到的第一个跳转)jmp的作用是绝对跳,无条件跳,从而跳过下面的出错信息 v 9\2/B
xxxxxxxxxxxx 出错信息,例如:注册码不对,sorry,未注册版不能...,"Function Not Avaible in Demo" 或 "Command Not Avaible" 或 "Can't save in Shareware/Demo"等(我们希望把它跳过,不让它出现)<br> X} <p|P+
。。。<br> 4AA3D!$
。。。<br> T-S6`^_L
xxxxxxxxxxxx 正确路线所在 ksb.]P d.
2.修改为nop<br> pH!e<m
je(jne,jz,jnz) =>nop相应的机器码90 (正确信息向上找到的第一个跳转) nop的作用是抹掉这个跳转,使这个跳转无效,失去作用,从而使程序顺利来到紧跟其后的正确信息处 NFxs4:]
RT
xxxxxxxxxxxx 正确信息,例如:注册成功,谢谢您的支持等(我们希望它不被跳过,让它出现,程序一定要顺利来到这里)<br> w&VM