安全研究----杀软研究1

今天遇到一个情况，就是xx杀毒绕过过程经过如一系列步骤确定到查杀代码段

myfun();

导出函数 fun(){

        _beginthread(myfun);

}

将_beginread反复更换其他调用函数_asm call或者::EnumWindowStationsW((WINSTAENUMPROCW)addr, NULL)来运行，都不行，之后通过printf("xxx")通过污染上下汇编函数，也就是加入printf后会大量的push入栈，导致杀毒软件特征码定位失败，成功绕过。记录一下，也就是说明需要二进制能力了。对各种asm等价替换还有上下函数反复调用进行参数污染。