恶意代码分析实战 Lab19

lab19-01 1IDApro打开看到解码代码如下 od调试的时候显示说无法作为及时调试器调试,所以只能用windbg,虽然麻烦了点 解码后程序先跳到003a0464 接着在464处,马上调用003a03bf函数 步入查看程序又调用003a039e函数 步入查看函数,这段函数很短,可以很容易看出来是在得到kernel32的base地址,看30h是的搭配peb结构地址,1ch是得到InInitia

>>阅读原文<<