恶意代码分析实战 Lab15

lab15-01 在每一个跳转地址前面都有一个E8,把他标识为数据,程序就出来了 第一个比较,要求命令行参数是两个,其中一个是程序名 接着是取出第二个参数的第一个字节作比较,可以知道参数是pdq lab15-02 修正过程中就两个地方注意一下,其他的都跟第一题一个手法 第一个是如下图,原来是个jmp语句跳到FF开始执行,也就是另一种翻译做inc和dec,所以这一段其实没有意义,选择翻译成第二个图就

>>阅读原文<<