PcShareVIP弄来的免杀思路

有些东西还是不错,有许多已经是老东西了!

------------------------------------------------------
其实也不只是pcshare别的木马也都差不多

需要准备的软件为

1.定位特征码的软件 myccl 或者multiCcL1

2.修改软件c32asm ollydbg ultraedit winhex LordPE peditor w32dasm

3.一些辅助软件 peid oc Stud_PE ImportREC FixRes....辅助软件很多根据实际情况使用可以简化一些操作

以myccl定位为例（实际我一般也使用myccl定位比较快只有他定不出我才用multiCcL1）定位特征码直到提示没有新的特征码出现为止

如果是复合特征码要每处都修改用c32打开文件看一下特征码在什么位置分析下是什么资源看不出的用LordPE打开再看看分析完了是什么资源再修改

像卡巴一般定位在text段可以用等价替换或者跳转到空白再跳回一般复合特征注意不要漏掉

瑞星一般在text段或者重定位表在重定位表直接用c32asm移动到新位置后再用LordPE把地址修改为移动后的地址

金山跟诺顿data段比较多金山一般可以直接修改诺顿需要修改调用可以用w32dasm打开文件看看哪里调用了这个信息然后把这个信息修改位置再修改调用为新地址就可以

江民一般也是text段没什么特别之处感觉末落了...他偶尔会定位在pe头用peditor重建以下pe头就可以了

咖啡算比较不错的杀毒软件你开始定位的时候他一般会定在输出表实际一般不是你用multiCcL1这个定位保护输出表定位就会发现咖啡的特征都是在一些无意义0000处随便填充一些垃圾就可以

nod32杀毒方式比较特别但不是不能修改也需要用multiCcL1 或者用myccl只定位text段就会定出会发现除了jmp 就是call 一般改为2次调用就可以了

ewido （现在的avg）都说得很邪乎其实他就是用的复合特征码比较早罢了杀毒也是文件释放到内存后他才杀得所以出现加壳一般不过的现象特征码修改都在一些很简单的位置

具体问题具体对待学会举一反三

附可能用到的

8088汇编速查手册

8088 汇编速查手册

　　一、数据传输指令
　　二、算术运算指令
　　三、逻辑运算指令
　　四、串指令
　　五、程序转移指令
　　六、伪指令

8088 汇编速查手册

一、数据传输指令
───────────────────────────────────────
　　它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据.
　　1. 通用数据传送指令.
　　　　MOV 传送字或字节.
　　　　MOVSX　先符号扩展,再传送.
　　　　MOVZX　先零扩展,再传送.
　　　　PUSH　　把字压入堆栈.
　　　　POP　　把字弹出堆栈.
　　　　PUSHA　把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈.
　　　　POPA　　把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.
　　　　PUSHAD　把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈.
　　　　POPAD　把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.
　　　　BSWAP　交换32位寄存器里字节的顺序
　　　　XCHG　　交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数)
　　　　CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX )
　　　　XADD　　先交换再累加.( 结果在第一个操作数里 )
　　　　XLAT　　字节查表转换.
　　　　　　　　── BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即
　　　　　　　　0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL )

　　2. 输入输出端口传送指令.
　　　　IN　　　I/O端口输入. ( 语法: IN 累加器, )
　　　　OUT　　 I/O端口输出. ( 语法: OUT ,累加器 )
　　　　输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时, 其范围是 0-65535.
　　　　
　　3. 目的地址传送指令.
　　　　LEA　　装入有效地址.
　　　　例: LEA DX,string　;把偏移地址存到DX.
　　　　
　　　　LDS　　传送目标指针,把指针内容装入DS.
　　　　例: LDS SI,string　;把段地址:偏移地址存到DS:SI.
　　　　
　　　　LES　　传送目标指针,把指针内容装入ES.
　　　　例: LES DI,string　;把段地址:偏移地址存到ES:DI.
　　　　
　　　　LFS　　传送目标指针,把指针内容装入FS.
　　　　例: LFS DI,string　;把段地址:偏移地址存到FS:DI.
　　　　
　　　　LGS　　传送目标指针,把指针内容装入GS.
　　　　例: LGS DI,string　;把段地址:偏移地址存到GS:DI.
　　　　
　　　　LSS　　传送目标指针,把指针内容装入SS.
　　　　例: LSS DI,string　;把段地址:偏移地址存到SS:DI.
　　　　
　　4. 标志传送指令.
　　　　LAHF　　标志寄存器传送,把标志装入AH.
　　　　SAHF　　标志寄存器传送,把AH内容装入标志寄存器.
　　　　PUSHF　标志入栈.
　　　　POPF　　标志出栈.
　　　　PUSHD　 32位标志入栈.
　　　　POPD　　32位标志出栈.

二、算术运算指令
───────────────────────────────────────
　　　　ADD　　加法.
　　　　ADC　　带进位加法.
　　　　INC　　加 1.
　　　　AAA　　加法的ASCII码调整.
　　　　DAA　　加法的十进制调整.
　　　　SUB　　减法.
　　　　SBB　　带借位减法.
　　　　DEC　　减 1.
　　　　NEC　　求反(以 0 减之).
　　　　CMP　　比较.(两操作数作减法,仅修改标志位,不回送结果).
　　　　AAS　　减法的ASCII码调整.
　　　　DAS　　减法的十进制调整.
　　　　MUL　　无符号乘法.
　　　　IMUL　　整数乘法.
　　　　以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算).
　　　　
　　　　AAM　　乘法的ASCII码调整.
　　　　DIV　　无符号除法.
　　　　IDIV　　整数除法.
　　　　以上两条,结果回送:
　　　　商回送AL,余数回送AH, (字节运算); 或商回送AX,余数回送DX, (字运算).
　　　　
　　　　AAD　　除法的ASCII码调整.
　　　　CBW　　字节转换为字. (把AL中字节的符号扩展到AH中去)
　　　　CWD　　字转换为双字. (把AX中的字的符号扩展到DX中去)
　　　　CWDE　　字转换为双字. (把AX中的字符号扩展到EAX中去)
　　　　CDQ　　双字扩展.　　 (把EAX中的字的符号扩展到EDX中去)

三、逻辑运算指令
───────────────────────────────────────
　　　　AND　　与运算.
　　　　OR　　或运算.
　　　　XOR　　异或运算.
　　　　NOT　　取反.
　　　　TEST　测试.(两操作数作与运算,仅修改标志位,不回送结果).
　　　　SHL　　逻辑左移.
　　　　SAL　　算术左移.(=SHL)
　　　　SHR　　逻辑右移.
　　　　SAR　　算术右移.(=SHR)
　　　　ROL　　循环左移.
　　　　ROR　　循环右移.
　　　　RCL　　通过进位的循环左移.
　　　　RCR　　通过进位的循环右移.
　　　　以上八种移位指令,其移位次数可达255次.
　　　　移位一次时, 可直接用操作码.　如 SHL AX,1.
　　　　移位>1次时, 则由寄存器CL给出移位次数.
　　　　如　　　MOV CL,04
　　　　　　　　SHL AX,CL

四、串指令
───────────────────────────────────────
　　　　DS:SI　源串段寄存器　:源串变址.
　　　　ES:DI　目标串段寄存器:目标串变址.
　　　　CX　　　重复次数计数器.
　　　　
　　　　AL/AX　扫描值.
　　　　D标志　 0表示重复操作中SI和DI应自动增量; 1表示应自动减量.
　　　　Z标志　用来控制扫描或比较操作的结束.
　　　　
　　　　MOVS　　串传送.
　　　　( MOVSB　传送字符. MOVSW　传送字.　MOVSD　传送双字. )
　　　　
　　　　CMPS　　串比较.
　　　　( CMPSB　比较字符. CMPSW　比较字. )
　　　　
　　　　SCAS　　串扫描.
　　　　把AL或AX的内容与目标串作比较,比较结果反映在标志位.
　　　　
　　　　LODS　　装入串.
　　　　把源串中的元素(字或字节)逐一装入AL或AX中.
　　　　( LODSB　传送字符.　　LODSW　传送字.　　LODSD　传送双字. )
　　　　
　　　　STOS　　保存串.
　　　　是LODS的逆过程.
　　　　
　　　　REP　　　　　　当CX/ECX<>0时重复.
　　　　REPE/REPZ　　　当ZF=1或比较结果相等,且CX/ECX<>0时重复.
　　　　REPNE/REPNZ　　当ZF=0或比较结果不相等,且CX/ECX<>0时重复.
　　　　REPC　　　　　　当CF=1且CX/ECX<>0时重复.
　　　　REPNC　　　　　当CF=0且CX/ECX<>0时重复.

五、程序转移指令
───────────────────────────────────────
　　　1>无条件转移指令 (长转移)
　　　　JMP　　　　　　无条件转移指令
　　　　CALL　　　　　　过程调用
　　　　RET/RETF　　　　过程返回.
　　　　
　　　2>条件转移指令 (短转移,-128到+127的距离内)
　　　 ( 当且仅当(SF XOR OF)=1时,OP1　　
　　　　JA/JNBE　　　　不小于或不等于时转移.
　　　　JAE/JNB　　　　大于或等于转移.
　　　　JB/JNAE　　　　小于转移.
　　　　JBE/JNA　　　　小于或等于转移.
　　　　以上四条,测试无符号整数运算的结果(标志C和Z).
　　　　
　　　　JG/JNLE 大于转移.
　　　　JGE/JNL 大于或等于转移.
　　　　JL/JNGE 小于转移.
　　　　JLE/JNG 小于或等于转移.
　　　　以上四条,测试带符号整数运算的结果(标志S,O和Z).
　　　　
　　　　JE/JZ　　　　　等于转移.
　　　　JNE/JNZ　　　　不等于时转移.
　　　　JC　　　　　　　有进位时转移.
　　　　JNC　　　　　　无进位时转移.
　　　　JNO　　　　　　不溢出时转移.
　　　　JNP/JPO　　　　奇偶性为奇数时转移.
　　　　JNS　　　　　　符号位为 "0" 时转移.
　　　　JO　　　　　　　溢出转移.
　　　　JP/JPE　　　　　奇偶性为偶数时转移.
　　　　JS　　　　　　　符号位为 "1" 时转移.
　　　　
　　3>循环控制指令(短转移)
　　　　LOOP　　　　　　CX不为零时循环.
　　　　LOOPE/LOOPZ　　 CX不为零且标志Z=1时循环.
　　　　LOOPNE/LOOPNZ　 CX不为零且标志Z=0时循环.
　　　　JCXZ　　　　　　CX为零时转移.
　　　　JECXZ　　　　　 ECX为零时转移.
　　　　
　　4>中断指令
　　　　INT　　　　　　中断指令
　　　　INTO　　　　　　溢出中断
　　　　IRET　　　　　　中断返回
　　　　
　　5>处理器控制指令
　　　　HLT　　　　　　处理器暂停, 直到出现中断或复位信号才继续.
　　　　WAIT　　　　　　当芯片引线TEST为高电平时使CPU进入等待状态.
　　　　ESC　　　　　　转换到外处理器.
　　　　LOCK　　　　　　封锁总线.
　　　　NOP　　　　　　空操作.
　　　　STC　　　　　　置进位标志位.
　　　　CLC　　　　　　清进位标志位.
　　　　CMC　　　　　　进位标志取反.
　　　　STD　　　　　　置方向标志位.
　　　　CLD　　　　　　清方向标志位.
　　　　STI　　　　　　置中断允许位.
　　　　CLI　　　　　　清中断允许位.

六、伪指令
───────────────────────────────────────
　　　　DW　　　　　　　定义字(2字节).
　　　　PROC　　　　　　定义过程.
　　　　ENDP　　　　　　过程结束.
　　　　SEGMENT　　　　定义段.
　　　　ASSUME　　　　　建立段寄存器寻址.
　　　　ENDS　　　　　　段结束.
　　　　END　　　　　　程序结束.　

等价替换代码

1）的作用是变换不影响执行效果的指令的
相对位置,如下指令的位置就是任意的,
可以有3!=6种变化：
mov ebx,23
xor ecx,ecx
lodsd

2）的作用是随机选取寄存器如：
– mov reg,[123456]
– mov [45678],reg
– reg就可以在eax,ebx,ecx....等通用寄存器之间进
行随机选择。

3）将一条指令替换为多条等价指令：
STOSD MOV [EDI],EAX,ADD EDI,4
MOV EAX,EDX PUSH EDX , POP EAX
POP EAX MOV EAX,[ESP] ADD ESP,4

4）多条指令替换为一条等价指令：
MOV [EDI],EAX STOSD
ADD EDI,4
PUSH EDX MOV EAX,EDX
XCHG EAX,EDX
POP EDX

5）一条指令替换为一条等价指令：
XOR EAX,EAX SUB EAX,EAX
ADD EXX,1 INC EXX

6）可以是不影响解密代码的指令
7）垃圾指令,不能影响代码执行效果的指
令,可以有单字节、双字节等垃圾指令。

32位汇编代码优化

代码优化的含义:

代码优化的目标当然是体积小和速度快,但是在通常的情况下二者就象鱼和熊掌一样不能得兼,我们通常寻找的是这二者的折中,究竟应该偏向何方,那就得具体看我们的实际需要.

但有些常识是我们应该牢记的,下面就结合我们最常遇到的具体情况来漫谈一下:

1.寄存器清0
我绝对不想再看到下面的写法:
1) mov eax, 00000000h ;5 bytes
看起来上面的写法很符合逻辑,但你应当意识到还有更加优化的写法:
2) sub eax, eax ;2 bytes
3) xor eax, eax ;2 bytes
看看后面的字节数你就应该理解为什么要这么作了,除此之外,在速度上也没有损失,他们一样快,但你喜欢xor还是sub呢?我是比较喜欢xor,原因很简单,因为我数学不好....
不过Microsoft比较喜欢sub....我们知道windows运行的慢....(呵呵,当然是玩笑这并不是真正原因X-D!)

2.测试寄存器是否为0
我也不希望看到下面的代码:
1) cmp eax, 00000000h ;5 bytes
je _label_ ;2/6 bytes (short/near)
[* 注意很多指令针对eax作了优化,你要尽可能多地实用eax,比如CMP EAX, 12345678h (5 bytes)
如果你使用其他寄存器,就是6bytes *]
让我们看看,简单的比较指令居然要用7/11 bytes,No No No,试试下面的写法:
2) or eax, eax ;2 bytes
je _label_ ;2/6 (short/near)
3) test eax, eax ;2 bytes
je _label_ ;2/6 (short/near)
呵呵,只有4/8 bytes,看看我们可节省多少字节啊3/4字节...那么接下来的问题是你喜欢OR还是TEST呢,就我个人而言,比较喜欢TEST,因为test不改变任何寄存器,并不向任何寄存器写入内容,这通常能在pentium机上取得更快的执行速度.
别高兴的太早,因为还有更值得我们高兴的事情,假如你要判断的的是eax寄存器,那么看看下面的,是不是更有启发?
4) xchg eax, ecx ;1 byte
jecxz _label_ ;2 bytes
在短跳转的情况下我们比2)和3)又节省了1字节.oh....___...

3.测试寄存器是否为0FFFFFFFFh
一些API返回-1,因此如何测试这个值呢?看你可能又要这样:
1) cmp eax, 0ffffffffh ;5 bytes
je _label_ ;2/6 bytes
hey,不要这样,写代码的时候想一想,于是有了下面的写法:
2) inc eax ;1 byte
je _label_ ;2/6 bytes
dec eax ;1 byte
可以节省3 bytes并且执行速度会更快.

4.置寄存器为0FFFFFFFFh
看看假如你是Api的作者,如何返回-1?这样吗?
1) mov eax, 0ffffffffh ;5 bytes
看了上面的不会再这么XXX了吧?看看下面的:
2) xor eax, eax / sub eax, eax ;2 bytes
dec eax ;1 byte
节省一个字!还有写法:
3) stc ;1 byte
sbb eax, eax ;2 bytes
这有时还可以优化掉1 byte:
jnc _label_
sbb eax, eax ;2 bytes only!
_label_: ...
我们为什么用asm呢?这就是原因.

5.寄存器清0并移入低字数值
1) xor eax, eax ;2 bytes
mov ax, word ptr [esi+xx] ;4 bytes
????--->不会吧,这可能是最多初学者的写法了,我当然原来也是,看了benny的文章之后我决定改写为:
2) movzx eax, word ptr [esi+xx] ;4 bytes
收获2 bytes!
下面的
3) xor eax, eax ;2 bytes
mov al, byte ptr [esi+xx] ;3 bytes
就相应改为:
4) movzx eax, byte ptr [esi+xx] ;4 bytes
我们应当尽可能利用movzx
5) xor eax, eax ;2 bytes
mov ax, bx ;3 bytes
因为执行速度不慢并通常能节省字节...
6) movzx eax, bx ;3 bytes

6.关于push,下面是着重代码体积的优化,因为寄存器操作总要比内存操作要快.
1) mov eax, 50h ;5 bytes
这样就小了1 word
2) push 50h ;2 bytes
pop eax ;1 byte
当操作数只有1字节时候,push只有2 bytes,否则就是5 bytes,记住!
下一个问题,向堆栈中压入7个0
3) push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
占用14字节,显然不能满意,优化一下
4) xor eax, eax ;2 bytes
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
可以更紧凑,但会慢一点的形式如下:
5) push 7 ;2 bytes
pop ecx ;1 byte
_label_: push 0 ;2 bytes
loop _label_ ;2 bytes
可以节省7字节....
有时候你可能会从将一个值从一个内存地址转移到另外内存地址,并且要保存所有寄存器:
6) push eax ;1 byte
mov eax, [ebp + xxxx] ;6 bytes
mov [ebp + xxxx], eax ;6 bytes
pop eax ;1 byte
试试push,pop
7) push dword ptr [ebp + xxxx] ;6 bytes
pop dword ptr [ebp + xxxx] ;6 bytes

7.乘法
当eax已经放入被乘数,要乘28h,如何来写?
1) mov ecx, 28h ;5 bytes
mul ecx ;2 bytes
好一点的写法如下:
2) push 28h ;2 bytes
pop ecx ;1 byte
mul ecx ;2 bytes
哇这个更好::
3) imul eax, eax, 28h ;3 bytes
intel在新CPU中提供新的指令并不是摆设,需要你的使用.

8.字符串操作
你如何从内存取得一个字节呢?
速度快的方案:
1) mov al/ax/eax, [esi] ;2/3/2 bytes
inc esi ;1 byte
代码小的方案:
2) lodsb/w/d ;1 byte
我比较喜欢lod因为他小,虽然速度慢了点.

如何到达字符串尾呢?
JQwerty's method:

9) lea esi, [ebp + asciiz] ;6 bytes
s_check: lodsb ;1 byte
test al, al ;2 bytes
jne s_check ;2 bytes

Super's method:

10) lea edi, [ebp + asciiz] ;6 bytes
xor al, al ;2 bytes
s_check: scasb ;1 byte
jne s_check ;2 byte
选择哪一个?Super的在386以下的更快,JQwerty的在486以及pentium上更快,体积一样,选择由你.

9.复杂一点的...
假设你有一个DWORD表,ebx指向表的开始,ecx是指针,你想给每个doword加1,看看如何作:
1) pushad ;1 byte
imul ecx, ecx, 4 ;3 bytes
add ebx, ecx ;2 bytes
inc dword ptr [ebx] ;2 bytes
popad ;1 byte
可以优化一点,但是好像没人用:
2) inc dword ptr [ebx+4*ecx] ;3 bytes
一条指令就节省6字节,而且速度更快,更易读,但好像没有什么人用?...why?
还可以有立即数:
3) pushad ;1 byte
imul ecx, ecx, 4 ;3 bytes
add ebx, ecx ;2 bytes
add ebx, 1000h ;6 bytes
inc dwor ptr [ebx] ;2 bytes
popad ;1 byte
优化为:
4) inc dword ptr [ebx+4*ecx+1000h] ;7 bytes
节省了8字节!
看一下lea指令能为我们干点什么呢?
lea eax, [12345678h]
eax的最后结果是什么呢?正确答案是12345678h.
假设 EBP = 1
lea eax, [ebp + 12345678h]
结果是123456789h....呵呵比较一下:
lea eax, [ebp + 12345678h] ;6 bytes
==========================
mov eax, 12345678h ;5 bytes
add eax, ebp ;2 bytes
5) 看看:
mov eax, 12345678h ;5 bytes
add eax, ebp ;2 bytes
imul ecx, 4 ;3 bytes
add eax, ecx ;2 bytes
6) 用lea来进行一些计算我门将从体积上得到好处:
lea eax, [ebp+ecx*4+12345678h] ;7 bytes
速度上一条lea指令更快!不影响标志位...记住下面的格式,在许多地方善用他们你可以节省时间和空间.
OPCODE [BASE + INDEX*SCALE + DISPLACEMENT]

10.下面是关于病毒重定位优化的,惧毒人士请绕行...
下面的代码你不应该陌生
1) call gdelta
gdelta: pop ebp
sub ebp, offset gdelta
在以后的代码中我们这样使用delta来避免重定位问题
lea eax, [ebp + variable]
这样的指令在应用内存数据的时候是不可避免的,如果能优化一下,我门将会得到数倍收益,打开你的sice或者trw或者ollydbg等调试器,看看:
3) lea eax, [ebp + 401000h] ;6 bytes
假如是下面这样
4) lea eax, [ebp + 10h] ;3 bytes
也就是说如果ebp后面变量是1字节的话,总的指令就只有3字节
修改一下最初的格式变为:
5) call gdelta
gdelta: pop ebp
在某些情况下我们的指令就只有3字节了,可以节省3字节,嘿嘿,让我们看看:
6) lea eax, [ebp + variable - gdelta] ;3 bytes
和上面的是等效的,但是我们可以节省3字节,看看CIH...

11.其他技巧:
如果EAX小于80000000h,edx清0:
--------------------------------------------------
1) xor edx, edx ;2 bytes, but faster
2) cdq ;1 byte, but slower
我一直使用cdq,为什么不呢?体积更小...

下面这种情况一般不要使用esp和ebp,使用其他寄存器.
-----------------------------------------------------------
1) mov eax, [ebp] ;3 bytes
2) mov eax, [esp] ;3 bytes
3) mov eax, [ebx] ;2 bytes

交换寄存器中4个字节的顺序?用bswap
---------------------------------------------------------
mov eax, 12345678h ;5 bytes
bswap eax ;2 bytes
;eax = 78563412h now
Wanna save some bytes replacing CALL ?
---------------------------------------

1) call _label_ ;5 bytes
ret ;1 byte
2) jmp _label_ ;2/5 (SHORT/NEAR)
如果仅仅是优化,并且不需要传递参数,请尽量用jmp代替call

比较 reg/mem 时如何节省时间:
------------------------------------------
1) cmp reg, [mem] ;slower
2) cmp [mem], reg ;1 cycle faster

乘2除2如何节省时间和空间?
------------------------------------------------------------
1) mov eax, 1000h
mov ecx, 4 ;5 bytes
xor edx, edx ;2 bytes
div ecx ;2 bytes
2) shr eax, 4 ;3 bytes
3) mov ecx, 4 ;5 bytes
mul ecx ;2 bytes
4) shl eax, 4 ;3 bytes

loop指令
------------------------
1) dec ecx ;1 byte
jne _label_ ;2/6 bytes (SHORT/NEAR)

2) loop _label_ ;2 bytes

再看:
3) je $+5 ;2 bytes
dec ecx ;1 byte
jne _label_ ;2 bytes

4) loopXX _label_ (XX = E, NE, Z or NZ) ;2 bytes
loop体积小,但486以上的cpu上执行速度会慢一点...

比较:
---------------------------------------------------------
1) push eax ;1 byte
push ebx ;1 byte
pop eax ;1 byte
pop ebx ;1 byte

2) xchg eax, ebx ;1 byte

3) xchg ecx, edx ;2 bytes
如果仅仅是想移动数值,用mov,在pentium上会有较好的执行速度:
4) mov ecx, edx ;2 bytes

比较:
--------------------------------------------

1) 未优化:
lbl1: mov al, 5 ;2 bytes
stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
lbl2: mov al, 6 ;2 bytes
stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
---------
;14 bytes
2) 优化了:
lbl1: mov al, 5 ;2 bytes
lbl: stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
lbl2: mov al, 6 ;2 bytes
jmp lbl ;2 bytes
---------
;11 bytes

读取常数变量,试试在指令中直接定义:
-----------------------------

...
mov [ebp + variable], eax ;6 bytes
...
...
variable dd 12345678h ;4 bytes

2) 优化为:

mov eax, 12345678h ;5 bytes
variable = dword ptr $ - 4
...
...
mov [ebp + variable], eax ;6 bytes

呵呵,好久没看到这么有趣的代码了,前提是编译的时候支持代码段的写入属性要被设置.

最后介绍未公开指令SALC,现在的调试器都支持...什么含义呢:就是CF位置1的话就将al置为0xff
------------------------------------------------------------------

1) jc _lbl1 ;2 bytes
mov al, 0 ;2 bytes
jmp _end ;2 bytes
_lbl: mov al, 0ffh ;2 bytes
_end: ...

2) SALC db 0d6h ;1 byte ;)

PcShareVIP弄来的免杀思路相关推荐

最简单的加载器免杀思路
本文首发于先知社区:https://xz.aliyun.com/t/9385 这部分源代码开放:https://github.com/MrWQ/HanGuang 最简单的加载器免杀思路将加载器的变量 ...
源码免杀教程源码免杀思路详解
绝对不一样的源码免杀教程!绝对不一样的免杀实战体验!清晰的思路!细致全面的思路详解!让你感到免杀原来可以这么简单!教你如何在源代码中找出被杀代码,修改代码从而达到免杀效果! 免杀之-网络攻防入门书籍推 ...
Windows下免杀思路总结
1.简介在安全厂商日趋成熟的背景下,编写免杀马的难度和成本日益增长.好用新兴的开源项目在短时间内就被分析并加入特征库.笔者调研了部分开源项目,其中也有项目做了类似的分析 [1],目前能够免杀的项目初 ...
PowerShell命令免杀思路
文章目录前言 powershell变形方法大小写管道符修改函数名命令拆分反引号处理 base64免杀组合拳其他思路低版本powershell 前言 powershell是一种命令行外 ...
【免杀】————1、PHP一句话过狗、卫士、D盾等免杀思路
00x1.关键字拆分比如assert,可以写成 'a'.'ss'.'e'.'r'.'t'这样. 总结:这种方法虽然简单,但是却没有太强的免杀功效,需要结合其他方法. 00x2.可变变量.引用.可变函 ...
C/C++ 实现切片免杀的思路
今天突然想到了一个好玩的免杀思路,原理就是想办法切断磁盘特征与内存特征,关于沙盒免杀我寻思着,这样可以将不同的的DLL映射到内存,在内存中他们的特征也是被切断的,在注入器上做判断如果是沙盒则不加载,不 ...
c语言免杀程序源码,Window下基于C/C++源码免杀理论及思路(新手篇)
作者:冷锋(LengF) [BHST] 博客:www.81sec.com 时间:2011-5-22 0x00 概述最近搞一个国外的网站,对方是用的赛门铁克的诺顿杀毒软件,而内网又只对外开放 ...
python加载shellcode免杀简介
目录前言 0X00 基础概念 1. python ctypes模块介绍 2. dll动态链接库 3. pyinstaller 4. shellcode 5.关于windows defender 6 ...
云锁 php一句话,关于php一句话免杀的分析转载
一开始想这样: <?php $_GET['ts7']($_POST['cmd']);?> 客户端用菜刀,密码cmd,url为test.php?ts7=assert 这个应该算没有什 ...
msf rhosts设置文件_聊一聊基于 msf 的免杀项目测试过程
本文作者:ven0m(信安之路红蓝对抗小组成员) 招新文章:信安之路红蓝对抗小组招募志同道合的朋友我们在渗透中,需要解决的两个主要问题,一个是过安全检测设备(俗称过 WAF),一个是过杀毒软件(免杀 ...

PcShareVIP弄来的免杀思路

PcShareVIP弄来的免杀思路相关推荐

最新文章

热门文章