花指令编写手册最新和一批花指令.docx

1、花指令编写手册最新和一批花指令 花指令合集(0608)【深层】伪装 PEtite 2.2 - Ian Luck 汇编代码：=伪装代码部分：= mov eax,0040E000push 004153F3push dword ptr fs:0mov dword ptr fs:0,esppushfwpushadpush eaxxor ebx,ebxpop eaxpopadpopfwpop dword ptr fs:0pop eaxjmp XXXXXXXX 执行到程序的原有OEP =【深层】伪装 WCRT Library (Visual C+) DLL Method 1 - Jibz 二进制代码 +

2、汇编代码：=伪装代码部分：= 使用二进制粘贴以下代码：55 8B EC 83 7D 0C 01 75 41 A1 C0 30 00 10 85 C0 74 0A FF D0 85 C0 75 04 6A FE EB 17 68 0C 30 00 10 68 08 30 00 10 E8 89 00 00 00 85 C0 59 59 74 08 6A FD FF 15 08 20 00 10 68 04 30 00 10 68 00 30 00 10 E8 52 00 00 00 59 59粘贴完毕后，再添加2行汇编语句：jmp XXXXXXXX 执行到程序的原有OEP retn 0C1。伪装

3、 vcVC+程序的入口代码:PUSH EBP MOV EBP,ESP PUSH -1 push 415448 -_PUSH 4021A8 -/ 在这段代码中类似这样的操作数可以乱填 MOV EAX,DWORD PTR FS:0 PUSH EAX MOV DWORD PTR FS:0,ESP ADD ESP,-6C PUSH EBX PUSH ESI PUSH EDI ADD BYTE PTR DS:EAX,AL /这条指令可以不要!jmp 跳转到程序原来的入口点*2。跳转somewhere: nop /胡乱跳转的开始. jmp 下一个jmp的地址 /在附近随意跳 jmp . /. jmp 原入

4、口的地址 /跳到原始oep新入口: push ebp mov ebp,esp inc ecx push edx nop pop edx dec ecx pop ebp inc ecx loop somewhere /跳转到上面那段代码地址去！3. 伪装 C融合把A的代码换成B的push ebpmov ebp,esppush -1push 111111push 222222mov eax,fs:0push eaxmov fs:0,esppop eaxmov fs:0,eaxpop eaxpop eaxpop eaxpop eaxmov ebp,eaxjmp 老入口4. c +push ebpmo

5、v ebp,esppush -1push 111111push 222222mov eax,fs:0push eaxmov fs:0,esppop eaxmov fs:0,eaxpop eaxpop eaxpop eaxpop eaxmov ebp,eax5.Microsoft Visual C+ 6.0PUSH -1PUSH 0PUSH 0MOV EAX,DWORD PTR FS:0PUSH EAXMOV DWORD PTR FS:0,ESPSUB ESP,68PUSH EBXPUSH ESIPUSH EDIPOP EAXPOP EAXPOP EAXADD ESP,68POP EAXMOV

6、DWORD PTR FS:0,EAXPOP EAXPOP EAXPOP EAXPOP EAXMOV EBP,EAXJMP 原入口6.在mov ebp,eax后面加上PUSH EAX POP EAX7:防杀精灵一号防杀代码:push ebpmov ebp,esppush -1push 666666push 888888mov eax,dword ptr fs:0push eaxmov dword ptr fs:0,esppop eaxmov dword ptr fs:0,eaxpop eaxpop eaxpop eaxpop eaxmov ebp,eaxjmp 入口8:防杀精灵二号防杀代码:pu

7、sh ebpmov ebp,esppush -1push 0push 0mov eax,dword ptr fs:0push eaxmov dword ptr fs:0,espsub esp,68push ebxpush esipush edipop eaxpop eaxpop eaxadd esp,68pop eaxmov dword ptr fs:0,eaxpop eaxpop eaxpop eaxpop eaxmov ebp,eaxjmp 入口9.防杀精灵终极防杀代码push ebpmov ebp,espadd esp,-0Cadd esp,0Cpush eaxjmp入口10:木马彩衣(

8、金色鱼锦衣)花代码push ebpmov ebp,espadd esp,-0Cadd esp,0Cmov eax,原入口push eaxretn11:木马彩衣(虾米披风)花代码push ebpnopnopmov ebp,espinc ecxnoppush edxnopnoppop edxnoppop ebpinc ecxloopd /跳转到下面那段代码地址去！nop /胡乱跳转的开始.jmp 下一个jmp的地址 /在附近随意跳jmp . /.jmp 原入口的地址 /跳到原始oep12.VC+5.0代码(木马彩衣无限复活袍):PUSH EBP MOV EBP,ESP PUSH -1 push 4

9、15448 -_PUSH 4021A8 -/ 在这段代码中类似这样的操作数可以乱填 MOV EAX,DWORD PTR FS:0 PUSH EAX MOV DWORD PTR FS:0,ESP ADD ESP,-6C PUSH EBX PUSH ESI PUSH EDI ADD BYTE PTR DS:EAX,AL /这条指令可以不要!jo 00401000 /原入口jno 00401000 /原入口db 0e8h /花代码xxxxxx: nop /| POP EAX |看了，其实这两部分就是花指令 | POP EAX | | POP EAX / | JMP yyyyyy （跳回旧入口点：00

10、100016DB ） | | | push ebp 葛军 * push ebpmov ebp,espadd esp,-124push ebxpush esipush edixor eax,eaxmov dword ptr ss:ebp-124,eaxjmp 入口-PUSH EBP MOV EBP,ESP MOV EAX,0 PUSH EAX CALL 下个指令 POP EAX SUB EAX,0 MOV ECX,0 MOV EDX,0 MOV ESI,0 MOV EDI,0 MOV EBP,0 ADD EBP,EAX POP EAX POP EAX POP EAX POP EAX POP EB

11、P PUSH 入口点 RETN-/Borland Delphi 6.0 - 7.0PUSH EBP MOV EBP,ESP MOV ECX,6 PUSH 0 下面那个跳到这里 PUSH 0 DEC ECX JNZ 往回跳 PUSH EBX PUSH ESI PUSH EDIPOP EDIPOP ESIPOP EBXJMP 入口点-push ebpmov ebp,espinc edxnoppop edxdec ecxpop ebpinc ecxjmp 入口点-push ebpmov ebp,esppush ebxmov ebx,dword ptr ss:ebp+8push esimov esi,dword ptr ss:ebp+Cpush edimov edi,dword ptr ss:ebp+10test esi,esijmp 入口-0046D4BA pop eax0046D4BB sub eax,7D0046D4C0 push eax0046D4C1 C3 retn0046D4C2 call 0046D4BA -伪装VC7。0花最近抓的伪装VC7。0的花，很短/-push 70push 123456(数字随便)call A(A为地址)xor ebx,ebxA地址:retn