一个shellcode样本逆向分析

首先：shellcode分为代码和数据两部分 代码部分：负责解密数据部分，并跳转到数据部分偏移8处开始执行。 数据部分：第一个4字节是首次异或加密的key；第二个4字节是实际数据部分长度(已异或加密)；剩余部分是按每4字节异或加密实际数据部分(实际是一个dll文件) 代码如下： sub_430070( )函数解密完数据部分后，发现是一个pe文件(实际是一个dll)，存在内存中的pe文件(虽然在内存

>>阅读原文<<