文档介绍：【免杀花指令编写组合】.txt小时候觉得父亲不简单,后来觉得自己不简单,再后来觉得自己孩子不简单。越是想知道自己是不是忘记的时候,反而记得越清楚。
0
POP 0
ebp
pop ebp
----一般插在中间
一下jmp的地址
jmp ...
esp,1 ----数字可以改变
sub esp,1
6. add esp,1
add esp,-1
esp,1
sub esp,-1
esi
push edi
ecx
dec ecx
10 sub eax,-2
dec eax
dec eax
11.(该免杀花指令经典,压缩可运行,免卡巴)
push ebp
mov ebp,esp
pop esp
jmp 原入口点地址-
jmp XXXXXX等价于:
PUSH XXXXXX
RETN
12. 免杀卡巴的花指令:
push ebx
push ebx
push ebx
pop ebx
pop ebx
pop ebx
jmp 跳到下一个地址
add esp,1
add esp,-1
push 入口点地址
retn
*************
12.(同上)
push ebp
push esp
pop ebp
pop esp
jmp 原入口点地址
:
push ebp
push esp
pop ebp
add esp,-0C
add esp,0C
push eax
jmp入口
push ebp
mov ebp,esp
add esp,-0C
add esp,0C
push eax
mov eax,入口地址
jmp eax
nop
15.
jmp 改成:Jg(大于转移),JL(小于转移)
或改成:jb(小于转移),jnb(大于或等于转移)
,不然,要被直接杀
jmp ---直接被杀
改成
jb
jnb
或改成:
push 入口地址
retn
或改成:
mov eax,入口地址
jmp eax
:
push ebx
push ebx
pop ebx
pop ebx
add esp,1
add esp,-1
push 入口地址
retn
*****************************************************************
免杀经验:
,加花后,再加密,可以比较容易过卡巴----如加密工具vmprotect
脱壳过的木马---加花指令,或加区加花---加密---加压缩壳---再