od特征码修改免杀教程.pptxVIP

黑基VIP培训教程OD特征码修改免杀教程 黑基讲师：小甜甜课程目标掌握OD的特征码等价修改法掌握OD的特征码通用跳转法了解OC偏移地址工具的使用第 页OD的特征码通用跳转法跳转到空指令区跳转原地址OD的特征码等价修改法JNZJA等价分析OC偏移地址工具的使用文件偏移量内存地址第 页目录 文件: Gh0st 服务端 特征码：0000C030位次数：4次杀毒软件：瑞星2009 病毒库：4月29号更新第 页特征码已定位的Gh0st远控服务端第 页OC偏移地址工具的使用JNZ jump Non Zero第 页OD的特征码通用跳转法(一)第 页OD的特征码通用跳转法(二)第 页OD的特征码通用跳转法(三)第 页OD的特征码通用跳转法(四) JNZ为什么能与JA指令等价？ 1. TEST常用于测试操作数中某位是否为1，而且不会影响目的操作数。如果测试某位的状态，对某位进行逻辑与1的运算，其它位逻辑与0，然后判断标志位。运算结果为0，ZF=1，表示被测试位为0；否则ZF=0，表示被测试位为1。 TEST指令影响标志位为SF，ZF，PF，并且使OF=CF=0。 (Zero Flag = ZF)　例 1.　TEST AL，80H；测试AL中最高位　JNZ NEXT；如果最高位为1，转到标志NEXT处。第 页OD的特征码等价修改法(一