花指令.docVIP

花指令 花指令 用途：抵御静态反汇编。 原理： 数据与代码的区分、指令本身的不等长。 使用无用字节干扰反汇编器对指令起始位置的判断。 方法： 1.寄存器介绍: (1).数据寄存器: 存放数据EAX、EBX、ECX、EDX (2).指针寄存器: 主要用途就是在存储器寻址时，提供偏移地址.ESP、EBP、EDI、ESI ESP(堆栈指针寄存):以“后进先出”方式工作的一个存储区，它必须存在于堆栈段中. EBP(基址指针寄存器):内存放一个指针，该指针指向系统栈最上面一个栈帧的底部。 ESI(源变址寄存器):内存操作指令中作为“源地址指针”使用。 EDI(目的变址寄存器):内存操作指令中作为“目的地址指针”使用。 2.数据传输指令: MOV-------传送字或字节 PUSH------把字压入堆栈 POP-------把字弹出堆栈 PUSHA-----把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈. POPA------把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈. PUSHAD----把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈. POPAD-----把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈. 3.算术运算指令: ADD-------加法. SUB-------减法. INC-------加 1 DEC-------减 1 MUL-------无符号乘法 DIV-------无符号除法 4.逻辑运算指令 AND------与运算 OR-------或运算 XOR------异或运算 NOT------取反 5.无条件转移指令 JMP--------无条件转移指令 CALL-------过程调用 RET/RETF---过程返回 6.条件转移指令 JE--------等于转移(Jump if Equal) JNE-------不等于时转移(Jump if Not Equal) JZ--------等于转移(Jump if Zero) JNZ-------不等于时转移(Jump if Not Zero) JB--------小于转移(Jump if Below) JNB-------大于或等于转移(Jump if Not Below) JA--------大于时转移(Jump if Above) JNA-------小于或等于转移(Jump if Above) JG--------大于转移(Jump if Greater) JNG-------小于或等于转移(Jump if Not Greater) JC--------有进位时转移(Jump if Carry) JNC-------无进位时转移(Jump if Not Carry) JP--------奇偶性为偶数时转移(Jump if Parity) JNP-------奇偶性为奇数时转移(Jump if Not Parity) 7.其它 nop-----在汇编中代表空指令，不执行任何代码. Mov edi,edi-----效果与nop一样. 注:编写花指令,可参考以下成双指令,可任意自由组合.达到免杀效果. push ebp pop ebp push eax pop eax push esp pop esp push 0 push 0 push 10 -------其中数字可以任意,注意与下面对应 push -10 nop -------可任意在中间添加 与它等效的: mov EDI,EDI add esp,1 -------其中数字可以任意,注意以下面对应 add esp,-1 add esp,1 -------其中数字可以任意,注意以下面对应 sub esp,1 inc ecx dec ecx sub eax, -2 --------其中数字可任意,与dec的个数对应 dec eax dec eax add eax -2 --------其中数字可任意,与inc的个数对应 inc eax inc eax sub eax,5 --------其中数字可以任意,注意以下面对应 add eax,3 add eax,2 jmp 下一个jmp地址 jmp 下一个地址 push ebp mov ebp,esp ------可做为花指令的开头句 jmp 入口地址 ------跳到程序入口地址 与它效果一样的还有(以下三个): push 入口地址 retn jb 入口地址 jnb 入口地址 mov eax,入口地址 jmp eax 手动编写例子 push ebp mov ebp,esp s