论坛风格切换
 
  • 帖子
  • 日志
  • 用户
  • 版块
  • 群组
帖子
购买邀请后未收到邀请联系sdbeta@qq.com
  • 2519阅读
  • 2回复

[手机资讯]汇编知识 [复制链接]

上一主题 下一主题
离线hljszh0467
 

发帖
70
今日发帖
最后登录
2016-01-26
只看楼主 倒序阅读 使用道具 楼主  发表于: 2010-10-15 15:01:14
木马高级免杀修改特征码需要熟练掌握的全部汇编知识 WK-WA$7\  
一.机械码,又称机器码.<br> UPH:$Fk&  
ultraedit打开,编辑exe文件时你会看到<br> "[76>\'H  
许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码<br> t<rhrW75P  
就是机器码.<br> ) b?HK SqI  
修改程序时必须通过修改机器码来修改exe文件. Gt'%:9r  
二.需要熟练掌握的全部汇编知识(只有这么多)<br> P7Kp*He)  
不大容易理解,可先强行背住,混个脸儿熟,以后慢慢的就理解了<br> 0EOpK%{  
cmp a,b 比较a与b<br> 0]&~ddL  
mov a,b 把b的值送给a<br> W,:*`  
ret 返回主程序<br> lf&g *%?1  
nop 无作用,英文“no operation”的简写,意思是“do nothing”(机器码90)***机器码的含义参看上面<br> 9 u{#S}c`  
(解释:ultraedit打开编辑exe文件时你看到90,等同于汇编语句nop)<br> 7i`8 c =.  
call 调用子程序<br> !ce5pA  
je 或jz 若相等则跳(机器码74 或0F84)<br> pno]B ld'z  
jne或jnz 若不相等则跳(机器码75或0F85)<br> <rNCb;  
jmp 无条件跳(机器码EB)<br> s+l)Q  
jb 若小于则跳<br> D3N\$D  
ja 若大于则跳<br> q<dZy? f  
jg 若大于则跳<br> WbB0{s  
jge 若大于等于则跳<br> @Pb!:HeJE  
jl 若小于则跳<br> *%bQp  
jle 若小于等于则跳<br> Q)#+S(TG  
pop 出栈<br> D<78Tm x  
push 压栈 '#L.w6<B  
三.常见修改(机器码)<br> ,onOwPz  
74=>75 74=>90 74=>EB<br> =J:6p-\*  
75=>74 75=>90 75=>EB 5srj|'ja  
jnz->nop<br> lu2"?y[2  
75->90(相应的机器码修改) 9Kf# jZ  
jnz -> jmp<br> h2<Y*j  
75 -> EB(相应的机器码修改) v0v%+F#>@  
jnz -> jz<br> OiAP%7i9  
75->74 (正常) 0F 85 -> 0F 84(特殊情况下,有时,相应的机器码修改) '@t}8J  
四.两种不同情况的不同修改方法<br> 9O1#%  
1.修改为jmp<br> M@%$9N)gd  
je(jne,jz,jnz) =>jmp相应的机器码EB (出错信息向上找到的第一个跳转)jmp的作用是绝对跳,无条件跳,从而跳过下面的出错信息 v 9\2/B  
xxxxxxxxxxxx 出错信息,例如:注册码不对,sorry,未注册版不能...,"Function Not Avaible in Demo" 或 "Command Not Avaible" 或 "Can't save in Shareware/Demo"等(我们希望把它跳过,不让它出现)<br> X} <p|P+  
。。。<br> 4AA3D!$  
。。。<br> T-S6`^_L  
xxxxxxxxxxxx 正确路线所在 ksb.]P d.  
2.修改为nop<br> pH!e<m  
je(jne,jz,jnz) =>nop相应的机器码90 (正确信息向上找到的第一个跳转) nop的作用是抹掉这个跳转,使这个跳转无效,失去作用,从而使程序顺利来到紧跟其后的正确信息处 NFxs4:] RT  
xxxxxxxxxxxx 正确信息,例如:注册成功,谢谢您的支持等(我们希望它不被跳过,让它出现,程序一定要顺利来到这里)<br> w&VMb&<  
。。。<br> w=Cq v~  
。。。<br> >AFX}N#  
xxxxxxxxxxxx 出错信息(我们希望不要跳到这里,不让它出现)它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据. <br> y{{7)G  
1. 通用数据传送指令. <br> A|Z'\D0  
MOV 传送字或字节. <br> u^5X@ .  
MOVSX 先符号扩展,再传送. <br> 1T96W :   
MOVZX 先零扩展,再传送. <br> %z9eVkPI~  
PUSH 把字压入堆栈. <br> 5BWO7F0v"  
POP 把字弹出堆栈. <br> )}`3haG  
PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈. <br> ~Q4 emgBD  
POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈. <br> 3"9'MDKH  
PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈. <br> YhpNeP{A  
POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈. <br> 0uZ 'j  
BSWAP 交换32位寄存器里字节的顺序 <br> e[`u:  
XCHG 交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数) <br> 0C3s  
CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX ) <br> .@7J8FS*  
XADD 先交换再累加.( 结果在第一个操作数里 ) <br> <Vu/6"DP  
XLAT 字节查表转换. <br> <]9%Pm#X  
—— BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即 <br> pzL !42  
0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL ) <br> KB3zQJY  
2. 输入输出端口传送指令. <br> WrzyBG_  
IN I/O端口输入. ( 语法: IN 累加器, {端口号│DX} ) <br> )+!~xL  
OUT I/O端口输出. ( 语法: OUT {端口号│DX},累加器 ) <br> /d<"{\o  
输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时, <br> 1#o>< ?  
其范围是 0-65535. <br> P8Nzz(JF  
3. 目的地址传送指令. <br> `/+%mKlC|[  
LEA 装入有效地址. <br> e@B+\1  
例: LEA DX,string ;把偏移地址存到DX. <br> y:\ ^[y IQ  
LDS 传送目标指针,把指针内容装入DS. <br> -5v2E-  
例: LDS SI,string ;把段地址:偏移地址存到DS:SI. <br> X^pxu6nm-  
LES 传送目标指针,把指针内容装入ES. <br> 7hQf T76h  
例: LES DI,string ;把段地址:偏移地址存到ESI. <br> aqa%B  
LFS 传送目标指针,把指针内容装入FS. <br> .Fdqn?c|+  
例: LFS DI,string ;把段地址:偏移地址存到FSI. <br> Km)5;BQxg  
LGS 传送目标指针,把指针内容装入GS. <br> WGxe3(d  
例: LGS DI,string ;把段地址:偏移地址存到GSI. <br> .Vy*p")"  
LSS 传送目标指针,把指针内容装入SS. <br> E="FE.%A  
例: LSS DI,string ;把段地址:偏移地址存到SSI. <br> ]{` 8C  
4. 标志传送指令. <br> *)PCPYB^  
LAHF 标志寄存器传送,把标志装入AH. <br> 'eKvt5&@  
SAHF 标志寄存器传送,把AH内容装入标志寄存器. <br> yS*s[vT  
PUSHF 标志入栈. <br> W6kDQ& q  
POPF 标志出栈. <br> cy0 %tsB|  
PUSHD 32位标志入栈. <br> Y5J}*`[Mr  
POPD 32位标志出栈. o_!=-AWV  
二、算术运算指令 <br> i{['18Q$F3  
————————————————————————————— <br>  8(.DI/  
ADD 加法. <br> 0zSRk]i.f  
ADC 带进位加法. <br> dMcCSwYh  
INC 加 1. <br> ,34|_  
AAA 加法的ASCII码调整. <br> +3@d]JfMh  
DAA 加法的十进制调整. <br> u!&w"t61Nd  
SUB 减法. <br> SAuZWA4g[  
SBB 带借位减法. <br> 994   
DEC 减 1. <br> \ 2cI=Qf  
NEC 求反(以 0 减之). <br> UKIDFDn6_  
CMP 比较.(两操作数作减法,仅修改标志位,不回送结果). <br> W%/lBkP  
AAS 减法的ASCII码调整. <br> 6]GEn=t  
DAS 减法的十进制调整. <br> s_`PPl_D$K  
MUL 无符号乘法. <br> Lk%u(duU^  
IMUL 整数乘法. <br> (IAc*V~  
以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算), <br> (r&e|  
AAM 乘法的ASCII码调整. <br> ^8_`IT  
DIV 无符号除法. <br> /F>\-    
IDIV 整数除法. <br> <tT*.nM\  
以上两条,结果回送: <br> >a5M:s)  
商回送AL,余数回送AH, (字节运算); <br> %]>LnbM>4  
或 商回送AX,余数回送DX, (字运算). <br> D.e4S6\&  
AAD 除法的ASCII码调整. <br> qr5ME/)z  
CBW 字节转换为字. (把AL中字节的符号扩展到AH中去) <br> n+5X*~D  
CWD 字转换为双字. (把AX中的字的符号扩展到DX中去) <br> ,bv?c@  
CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去) <br> k+(UpO=/*  
CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去) .Yl*kG6r  
三、逻辑运算指令 <br> }]-SAM  
————————————————————————————<br> +y+-~;5iv  
AND 与运算. <br> 8vN}v3HV&  
OR 或运算. <br> V;b^b5yZ>  
XOR 异或运算. <br> D,aJ`PK~  
NOT 取反. <br> qO5.NIs  
TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果). <br> rcc.FS  
SHL 逻辑左移. <br> Cm4$&?  
SAL 算术左移.(=SHL) <br> .x$!Rc}  
SHR 逻辑右移. <br> /o<tmK_m  
SAR 算术右移.(=SHR) <br> l)PEg PSRV  
ROL 循环左移. <br> 91oIxW  
ROR 循环右移. <br> {.W$<y (j7  
RCL 通过进位的循环左移. <br> mp_(ke  
RCR 通过进位的循环右移. <br> XxW~4<r  
以上八种移位指令,其移位次数可达255次. <br> 'E/vE0nN?  
移位一次时, 可直接用操作码. 如 SHL AX,1. <br> "s']@Qv  
移位>1次时, 则由寄存器CL给出移位次数. <br> 8T5s6EmIOW  
如 MOV CL,04 <br> RvL-SI%E  
SHL AX,CL sje}E+{[  
四、串指令 <br> @@U'I^iG  
————————————————————————————— <br> `jR= X  
DS:SI 源串段寄存器 :源串变址. <br> ^s@?\v  
ESI 目标串段寄存器:目标串变址. <br> &i`\`6 q  
CX 重复次数计数器. <br> "%+C@>`(  
AL/AX 扫描值. <br> ~%Y*2i f  
D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量. <br> >w:px$g4  
Z标志 用来控制扫描或比较操作的结束. <br> UQl3Tq4QM  
MOVS 串传送. <br> P |c6V  
( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. ) <br> YoD1\a|  
CMPS 串比较. <br> &~ g||rq  
( CMPSB 比较字符. CMPSW 比较字. ) <br> a;p3Me7  
SCAS 串扫描. <br> OQ<|Xd I$  
把AL或AX的内容与目标串作比较,比较结果反映在标志位. <br> XUU l*5^  
LODS 装入串. <br> UzVnC:  
把源串中的元素(字或字节)逐一装入AL或AX中. <br> A7.$soI\  
( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. ) <br> CT6Ca,  
STOS 保存串. <br> 3=!\>0;E-  
是LODS的逆过程. <br> [((P ,v*  
REP 当CX/ECX<>0时重复. <br> [wAI;=.  
REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX<>0时重复. <br> brN:Ypf-e  
REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX<>0时重复. <br> clQN@1] M  
REPC 当CF=1且CX/ECX<>0时重复. <br> 1F'j .1  
REPNC 当CF=0且CX/ECX<>0时重复. Pj_2y)^?  
五、程序转移指令 <br> u\zRWX  
————————————————————————————— <br> T78`~-D4<  
1>无条件转移指令 (长转移) <br> TD+V.}  
JMP 无条件转移指令 <br> sfez0Uqe.~  
CALL 过程调用 <br> f>nj9a5  
RET/RETF过程返回. <br> ZbJzf]y:6  
2>条件转移指令 (短转移,-128到+127的距离内) <br> XW6Ewrm=vT  
( 当且仅当(SF XOR OF)=1时,OP1<OP2 ) <br> sHO6y0P  
JA/JNBE 不小于或不等于时转移. <br> 5nIm7vlQm  
JAE/JNB 大于或等于转移. <br> 79<{cexP  
JB/JNAE 小于转移. <br> &eq>>  
JBE/JNA 小于或等于转移. <br> m4(:H(Za  
以上四条,测试无符号整数运算的结果(标志C和Z). <br> I9Af\ k|^  
JG/JNLE 大于转移. <br> G"0YCi#I|  
JGE/JNL 大于或等于转移. <br> Kx?3]  
JL/JNGE 小于转移. <br> Px&*&^Gf[b  
JLE/JNG 小于或等于转移. <br> [gFpFz|b<  
以上四条,测试带符号整数运算的结果(标志S,O和Z). <br> ~}|)@,N'bm  
JE/JZ 等于转移. <br> 17[7)M88  
JNE/JNZ 不等于时转移. <br> XRVE8v+  
JC 有进位时转移. <br> ;1}~(I#Y  
JNC 无进位时转移. <br> s=Pwkte  
JNO 不溢出时转移. <br> dK,j|  
JNP/JPO 奇偶性为奇数时转移. <br> MGeHccqh2  
JNS 符号位为 "0" 时转移. <br> 1Qui.],c  
JO 溢出转移. <br> /g2(<  
JP/JPE 奇偶性为偶数时转移. <br> 5+dQGcE@  
JS 符号位为 "1" 时转移. <br> D1t@Y.vl  
3>循环控制指令(短转移) <br> 1pogk0h.:  
LOOP CX不为零时循环. <br> fk,[`n+  
LOOPE/LOOPZ CX不为零且标志Z=1时循环. <br> ac6Lv}w_  
LOOPNE/LOOPNZ CX不为零且标志Z=0时循环. <br> to9 u%d8  
JCXZ CX为零时转移. <br> P31}O2 Nh  
JECXZ ECX为零时转移. <br> 1 *'SP6g  
4>中断指令 <br>  )]L:OE  
INT 中断指令 <br> 3{ i'8  
INTO 溢出中断 <br> -qz;  
IRET 中断返回 <br> #>C.61Fx  
5>处理器控制指令 <br> 6j@3C`Yd  
HLT 处理器暂停, 直到出现中断或复位信号才继续. <br> MHmaut#  
WAIT 当芯片引线TEST为高电平时使CPU进入等待状态. <br> (D F{l?4x-  
ESC 转换到外处理器. <br> Wfgs[  
LOCK 封锁总线. <br> }Wjb0V  
NOP 空操作. <br> _3DRCNvh  
STC 置进位标志位. <br> rr>*_67-:  
CLC 清进位标志位. <br> :$ j6  
CMC 进位标志取反. <br> o%X@Bz  
STD 置方向标志位. <br> AGkk|`  
CLD 清方向标志位. <br> tK{2'e6x  
STI 置中断允许位. <br> )3PQ|r'  
CLI 清中断允许位. 4^(u6tX5|+  
六、伪指令 <br> 0\# uxzdhJ  
—————————————————————————<br> Y,z15i3j?  
DW 定义字(2字节). <br> FglCqO}  
PROC 定义过程. <br> ?3jOE4~aHr  
ENDP 过程结束. <br>                            经典万能密码'or'='or'入侵演示 p>7 !"RF:U  
SEGMENT 定义段. <br> /Ps}IW  
ASSUME 建立段寄存器寻址. <br> VXlTA>a }  
ENDS 段结束. <br> [ah%>&u  
END 程序结束. z%5i^P  
输入表免杀的4种方法 GY 4?}T^s  
现在很多杀毒软件把木马的特征码定位在程序的输入表,代表:NOD32,瑞星。以黑仿鸽子为例瑞星有两处内存特征码定位在输入表上,那么我们应该怎样修改呢?修改输入表是今年才被广泛应用的新技术,我知道的修改输入表的方法有4种。 tep_g4CQR_  
1,移位法。 JVE]Qb_  
用到的工具是C32,和LORDPE。 这个很简单,就是移动特征码的位置,但是从今年下半年起,这种方法对瑞星已经失效了。 (%]&Pe]  
2:调换法 sI4Ql0[  
注意:长度大小必须要一样。 !^BXai/  
这种方法对NOD32 和小红伞这两款世界出名杀毒软件的效果还不错。。利用C32上下调换输入表的位置,大家不要仅仅局限在 紧接着的上下两行调换。。。打个比方有4行代码, 你不仅仅可以2,3行互换,你同样可以1,4行互换,只要这些代码是输入表,并且长度一样就没什么问题。 10xo<@l  
3,指针修改法 e#]=-^  
其实就是移位法的变通,不同的是移位法是在用LORDPE改,而指针修改法是用OD把程序载入内存,找到特征码的文件偏移,然后再用C32修改。。 Tx"}]AyB6  
4,重建输入表 3Qmok@4e)  
用到的工具有OD C32 Import Fix LordPE %tiFx:F+  
1.首先我们OD载入鸽子的服务端,目的使服务端载入计算机内存,然后打开ImportREC 1.6,找到鸽子服务端的程序,选中它。打开PEID载入服务端,我们找到子系统打开后面的大于号 。找到输入表信息: ~t\Hb8o  
000A8000 000033A2,把这2个地址分别输入到ImportREC 1.6的RAV和大小里面,然后点击获得输入表按健,获得输入表后我们继续点击显示无效的,在找到的输入函数栏里我们任意选种一个点击右健选择[删除指针],继续我们选择[修理DUMP]出现一个提示框选择我们鸽子的服务端,系统自动生成一个新的输入表服务端,但是这个服务端包括2个输入表,我们把原来的输入表删除了,使用我们新建的输入表。我们继续用OD载入鸽子新生成的服务端,点击OD里的M健(内存影射),我们可以看到地址004C2000为我们新建的输入表,.IDATA 段地址004A8000是以前输入表的地址,我们找到它,去头去尾00填充掉,目的是把特征码定位在此处的信息删除掉(去除老的输入表)然后保存。此方法对于特征码定位在输入表的免杀效果不错,大家可以尝试一下。 K~8;wDN`b  
注意:在填充原输入表时,填0的原则是能把特征码填掉就好,鸽子的IDATA段还有别的信息.不要从头一下拉到尾整个就给填0了,这样运行会出错,我们选中间的大部分数据填0,就保证程序既能正常运行,而且特征码被填掉,大家多试一两次就可以了。 Jx[Z[RO2  
只要是特征码定位在输入表上,重建输入表这种方法基本都可以躲过,但其实个人并不提倡重建输入表,因为重建输入表后,对程序以后的加密有一定影响。。这真的是很矛盾,一方面它免杀效果好,另一方面却并不是自己想看到的,真是鱼与熊掌不可兼得。。 TZL)jf hj  
离线zwl103

发帖
2455
今日发帖
最后登录
2018-09-29
只看该作者 沙发  发表于: 2010-10-15 15:55:03
还以为是整理成 的文档那
离线ro70801320
发帖
*
今日发帖
最后登录
1970-01-01
只看该作者 板凳  发表于: 2010-10-15 21:15:20
了解..还真是多.