木马彩衣的实现原理

最新推荐文章于 2025-08-11 18:39:23 发布

kinglon

最新推荐文章于 2025-08-11 18:39:23 发布

阅读量1.3k

点赞数

CC 4.0 BY-SA版权

分类专栏：读书笔记文章标签： delphi image header dos 网络 c

本文链接：https://blog.youkuaiyun.com/kinglon/article/details/535847

本文介绍了木马彩衣的实现原理，通过在程序中添加新的Section，并将入口点指向新Section，然后在新Section中加入跳转指令，以此来混淆反病毒软件。示例代码展示了使用Delphi改编的代码，演示了如何修改PE头信息和添加跳转指令，以实现加壳过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

木马彩衣的实现原理,也就是在程序里面加多一个Section,并且把入口点指向我们新添加的Section,然后再在我们的Section的代码里加上一个jmp,jmp到真正的入口点.这样,一些识壳软件,它在识别入口点代码时,就跑到我们新加的Section,看到里面的代码是VC6或是Delphi的代码也就认为是VC6或是Delphi的程序了.
下面是我写的一个代码,修改自"Fi7ke"老大的Delphi代码,原文可以查看http://blog.youkuaiyun.com/hnxyy/archive/2005/11/16/530694.aspx

DWORD JMPOFF=43;

char OEPCODE[]={0x55, 0x8B, 0xEC, 0x6A, 0xFF, 0x68, 0x2A, 0x2C, 0x0A, 0x00, 0x68, 0x38,
    0x90, 0x0D, 0x00, 0x64, 0xA1, 0x00, 0x00, 0x00, 0x00, 0x50, 0x64, 0x89,
    0x25, 0x00, 0x00, 0x00, 0x00, 0x58, 0x64, 0xA3, 0x00, 0x00, 0x00, 0x00,
    0x58, 0x58, 0x58, 0x58, 0x8B, 0xE8, 0xB8,
  0x00, 0x10, 0x40, 0x00, //此处的DWORD是跳转的地址