花指令合集

 花指令合集

出自暗组技术论坛 http://www.darkst.com/bbs/,本贴地址:http://www.darkst.com/bbs/viewthread.php?tid=66
  【深层】伪装 PEtite 2.2 -> Ian Luck  汇编代码：
============================
伪装代码部分：
============================

mov eax,0040E000
push 004153F3
push dword ptr fs:[0]
mov dword ptr fs:[0],esp
pushfw
pushad
push eax
xor ebx,ebx
pop eax
popad
popfw
pop dword ptr fs:[0]
pop eax
jmp XXXXXXXX      '执行到程序的原有OEP

============================

【深层】伪装 WCRT Library (Visual C++) DLL Method 1 -> Jibz  二进制代码 + 汇编代码：
============================
伪装代码部分：
============================

使用二进制粘贴以下代码：

55 8B EC 83 7D 0C 01 75 41 A1 C0 30 00 10 85 C0 74 0A FF D0 85 C0 75 04 6A FE EB 17 68 0C 30 00 10 68 08 30 00 10 E8 89 00 00 00 85 C0 59 59 74 08 6A FD FF 15 08 20 00 10 68 04 30 00 10 68 00 30 00 10 E8 52 00 00 00 59 59

粘贴完毕后，再添加2行汇编语句：

jmp XXXXXXXX      '执行到程序的原有OEP
retn 0C

1。伪装 vc

VC++程序的入口代码:
PUSH EBP             
MOV EBP,ESP            
PUSH -1               
push 415448         -/___
PUSH 4021A8         -/  在这段代码中类似这样的操作数可以乱填    
MOV EAX,DWORD PTR FS:[0]       
PUSH EAX             
MOV DWORD PTR FS:[0],ESP       
ADD ESP,-6C            
PUSH EBX             
PUSH ESI             
PUSH EDI 
ADD BYTE PTR DS:[EAX],AL  /这条指令可以不要!
jmp 跳转到程序原来的入口点

******************************************************************************************

2。跳转

somewhere:        
   nop         /"胡乱"跳转的开始...
   jmp 下一个jmp的地址  /在附近随意跳
   jmp ...        /...
   jmp 原入口的地址    /跳到原始oep

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
新入口: push ebp
   mov ebp,esp
   inc ecx
   push edx
   nop
   pop edx
   dec ecx
   pop ebp
   inc ecx
   loop somewhere    /跳转到上面那段代码地址去！

3. 伪装 C
融合
把A的代码换成B的
push ebp
mov ebp,esp
push -1
push 111111
push 222222
mov eax,fs:[0]
push eax
mov fs:[0],esp
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 老入口

4. c ++
push ebp
mov ebp,esp
push -1
push 111111
push 222222
mov eax,fs:[0]
push eax
mov fs:[0],esp
pop eax
mov fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax

5.Microsoft Visual C++ 6.0
PUSH -1
PUSH 0
PUSH 0
MOV EAX,DWORD PTR FS:[0]
PUSH EAX
MOV DWORD PTR FS:[0],ESP
SUB ESP,68
PUSH EBX
PUSH ESI
PUSH EDI
POP EAX
POP EAX
POP EAX
ADD ESP,68
POP EAX
MOV DWORD PTR FS:[0],EAX
POP EAX
POP EAX
POP EAX
POP EAX
MOV EBP,EAX
JMP 原入口

6.
在mov ebp,eax
后面加上
PUSH EAX
POP EAX

7:
防杀精灵一号防杀代码:
push ebp
mov ebp,esp
push -1
push 666666
push 888888
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
pop eax
mov dword ptr fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 入口

8:
防杀精灵二号防杀代码:
push ebp
mov ebp,esp
push -1
push 0
push 0
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
sub esp,68
push ebx
push esi
push edi
pop eax
pop eax
pop eax
add esp,68
pop eax
mov dword ptr fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
jmp 入口

9.
防杀精灵终极防杀代码
push ebp
mov ebp,esp
add esp,-0C
add esp,0C
push eax
jmp入口

10:
木马彩衣(金色鱼锦衣)花代码
push ebp
mov ebp,esp
add esp,-0C
add esp,0C
mov eax,原入口
push eax
retn

11:
木马彩衣(虾米披风)花代码
push ebp
nop
nop
mov ebp,esp
inc ecx
nop
push edx
nop
nop
pop edx
nop
pop ebp
inc ecx
loopd /跳转到下面那段代码地址去！

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
nop         /"胡乱"跳转的开始...
jmp 下一个jmp的地址  /在附近随意跳
jmp ...        /...
jmp 原入口的地址    /跳到原始oep

12.
VC++5.0代码(木马彩衣无限复活袍):
PUSH EBP                     
MOV EBP,ESP                   
PUSH -1                     
push 415448            -/___
PUSH 4021A8            -/  在这段代码中类似这样的操作数可以乱填       
MOV EAX,DWORD PTR FS:[0]          
PUSH EAX                     
MOV DWORD PTR FS:[0],ESP          
ADD ESP,-6C                   
PUSH EBX                     
PUSH ESI                     
PUSH EDI   
ADD BYTE PTR DS:[EAX],AL  /这条指令可以不要!
jo 00401000           /原入口
jno 00401000          /原入口
db 0e8h              /花代码

 

xxxxxx:        nop        /
  /|/          POP EAX      |看了，其实这两部分就是花指令
  |          POP EAX      | 
  |          POP EAX      / 
  |          JMP yyyyyy  （跳回旧入口点：00100016DB ）
  |
  |
  |           push ebp       <-新入口点：          
  |           mov ebp,esp
  |           inc ecx
  |           push edx
  |           nop
  |           pop edx
  |           dec ecx
  |            pop ebp
  |        inc ecx
  |        MOV DWORD PTR FS:[0],EAX   /
  |            POP EAX              |
  |            POP EAX              /
  |            MOV DWORD PTR FS:[0],EAX    |（注意了。。花指令）
  |            POP EAX              /
  |            POP EAX              |
  |            MOV DWORD PTR FS:[0],EAX   /
  |           loop xxxxxx （这里我向上跳~地址也是自己选的~~）  
  |_________________++++++(转到地址:100036c3 往回跳)

--------------------------------------------------------------
代码如下： 神话
nop
nop
nop
mov ebp,esp
push -1
push 111111
push 222222
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
pop eax
mov dword ptr fs:[0],eax
pop eax
pop eax
pop eax
pop eax
mov ebp,eax
mov eax,原入口
push eax
retn

代码如下： 无极
nop
mov    ebp, esp
push   -1
push   0A2C2A
push   0D9038
mov    eax, fs:[0]
push   eax
mov    fs:[0], esp
pop    eax
mov    fs:[0], eax
pop    eax
pop    eax
pop    eax
pop    eax
mov    ebp, eax
mov    eax, 原入口
jmp    eax

代码如下： 金刚
nop
nop
mov    ebp, esp
push   -1
push   415448
push   4021A8
mov    eax, fs:[0]
push   eax
mov    fs:[0], esp
add    esp, -6C
push   ebx
push   esi
push   edi
add    [eax], al
mov    eax,原入口
jmp    eax

代码如下： 杀破浪
nop
mov    ebp, esp
push   -1
push   0
push   0
mov    eax, fs:[0]
push   eax
mov    fs:[0], esp
sub    esp, 68
push   ebx
push   esi
push   edi
pop    eax
pop    eax
pop    eax
add    esp, 68
pop    eax
mov    fs:[0], eax
pop    eax
pop    eax
pop    eax
pop    eax
mov    ebp, eax
mov    eax, 原入口
jmp    eax

代码如下： 痴情大圣
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
push   ebp
mov    ebp, esp
add    esp, -0C
add    esp, 0C
mov    eax, 原入口
push   eax
retn

代码如下： 如果*爱
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
nop
push   ebp
mov    ebp, esp
inc    ecx
push   edx
nop
pop    edx
dec    ecx
pop    ebp
inc    ecx
mov    eax, 原入口
jmp    eax

--------------------------------------------------------
灰鸽子万能文件捆绑器 VIP2005 -> 葛军 *

push ebp
mov ebp,esp
add esp,-124
push ebx
push esi
push edi
xor eax,eax
mov dword ptr ss:[ebp-124],eax
jmp 入口

----------------------------------------------------------
PUSH EBP                     
MOV EBP,ESP                   
MOV EAX,0                    
PUSH EAX                     
CALL 下个指令 ↓               
POP EAX                     
SUB EAX,0                    
MOV ECX,0                    
MOV EDX,0                    
MOV ESI,0                    
MOV EDI,0                    
MOV EBP,0                    
ADD EBP,EAX                   
POP EAX                     
POP EAX                     
POP EAX                     
POP EAX                     
POP EBP                     
PUSH 入口点                     
RETN
----------------------------------------------------------------
//Borland Delphi 6.0 - 7.0

PUSH EBP                     
MOV EBP,ESP                   
MOV ECX,6                    
PUSH 0  下面那个跳到这里                    
PUSH 0                      
DEC ECX                     
JNZ 往回跳             
PUSH EBX                     
PUSH ESI                     
PUSH EDI
POP  EDI
POP  ESI
POP  EBX
JMP  入口点
-----------------------------------------------------------------
push ebp
mov ebp,esp
inc edx
nop
pop edx
dec ecx
pop ebp
inc ecx
jmp 入口点
-----------------------------------------------------------------
push ebp
mov ebp,esp
push ebx
mov ebx,dword ptr ss:[ebp+8]
push esi
mov esi,dword ptr ss:[ebp+C]
push edi
mov edi,dword ptr ss:[ebp+10]
test esi,esi
jmp 入口
-----------------------------------------------------------------
0046D4BA            pop eax
0046D4BB            sub eax,7D
0046D4C0            push eax
0046D4C1   C3        retn
0046D4C2            call 0046D4BA