摘要：
一. if语句的还原 1. if 1.1 debug版if的还原：以条件跳为上界，跳转到的地址为下界，做还原工作。 1.2 release版类似： 2. if else的还原 2.1 debug版：以条件跳为上界，跳转到的地址为中界，中界前有向下的跳转，说明不是循环，以此跳转到的地址为下界，做还原工 阅读全文
摘要：
一. 模运算 1. 无符号 1.1 对2的幂取模 printf("%d", argc % 8); //无符号数argc mov eax,dword ptr [argc] and eax,7 ; argc & (2^n - 1) push eax push offset string "%d" cal 阅读全文
摘要：
有符号除法：cdq, and, add, sar,也可能被优化为 lea esi, [eax, edx], sar esi, C 函数调用后不保证eax，ecx，edx的值不变。 代码还原时，可以给变量取名为对应的寄存器名称，找bug时对比自己程序的变量名和原程序的寄存器，看两者值是否相等，不相等说 阅读全文
摘要：
右移是向下取整操作，对于除法A/C，当C>0且C不是2的幂时，除法转乘法(magic无进位)： if (A > 0) { AM >> n; //正数直接右移 } else { (AM >> n) + 1; //负数右移后要 +1 } 还原： 2^33 / 66666667h 得5 int nVal 阅读全文
摘要：
DEP：数据执行保护，不能再没有执行权限的页面上执行代码。链接选项可设置软件层面的DEP，对应PE头中IMAGE_OPTIONAL_HEADER的IMAGE_DLLCHARACTERISTICS_NX_COMPAT ROP突破DEP： 工具介绍： 安装ImmunityDebugger.exe，把mo 阅读全文
摘要：
Metasploit: 生成shellcode的命令：msfvenom 列出所有可用的payloads：msfvenom --list payloads 生成MessageBox：windows/messagebox Spawns a dialog via MessageBox using a cu 阅读全文
摘要：
返回地址如果能覆盖为我们的代码地址，就可以执行自己的代码。 1. 刚进入函数时，栈顶是0019FF44,返回地址00401234 2. 调用fscanf完成后，返回地址己被覆盖，如果能覆盖为有效的代码地址，就能执行想要的代码。 3. 返回地址具体覆盖为什么值，不能写死，否则通用性差，例如开了随机基址 阅读全文
摘要：
有些函数混淆后，F8步过call就会跑飞，因为执行流程没有返回到下一条指令，此时可以F7步入。如果大量重复的操作，可以用插件来完成。 x64dbg安装x64dbgpy插件后，在C:\Users\Hang\Downloads\x64dbgpy-37d3f5bb\x32\plugins\x64dbgpy 阅读全文
摘要：
写压缩壳的思路： 提取正常PE的数据，和我们的壳代码合起来得到一个新的PE，就得到了压缩后的PE。 我们需要写两个工程： 1. 加壳器：给指定的程序加壳 2. 壳代码：新PE里的壳代码，进行解压缩，填导入表等操作 为了书写方便，把壳代码和压缩后的代码放在不同的节中。一般把每个节单独压缩，解压缩时也单 阅读全文
摘要：
壳的分类： 1. 压缩壳：减小PE体积 2. 加密壳：对抗逆向分析 压缩壳加上对抗手段，如反调试、代码膨胀、代码混淆、IAT混淆等，就成了加密壳。 壳需要有一段代码，把原PE代码解压出来，但是解压过程中有可能覆盖了解压代码，解决方法： 使用无文件映射的节，类似于汇编中的.data?段。壳把解压后的数 阅读全文