5- Windows病毒分析 - 企业信息化.pptVIP

第五章 Windows病毒分析;5.1 Win32 PE病毒 ;SMC;SMC样例;SMC样例;ShowMessage proc ;这里用“::”的话，就能够使标号成为全局性的 ShowMessageStart:: invoke MessageBox, NULL, addr szMsg1, addr szCaption, MB_OK ShowMessageEnd:: ? ;用nop来预留空间，以便后面的SMC能够成功执行； ;否则如果空间不够，将有可能产生不可预测的错误： nop ret ShowMessage endp ?ReplaceMent proc ;将要用来SMC的代码： ReplaceMentStart:: invoke MessageBox, NULL, addr szMsg2, addr szCaption, MB_OK or MB_ICONINFORMATION ReplaceMentEnd:: ret ReplaceMent endp end main;Win32 PE病毒原理;Win32 PE病毒原理;Win32 PE病毒原理;Win32 PE病毒原理;mov ecx,[esp] ；将堆栈顶端的数据（返回Kernel32的地址）赋给ecx x