抗去除花指令(二)——有创意的花指令

一、概述

“jmp/call/ret+垃圾数据”这样的花指令已经是相当“老掉牙”了，OD的插件对付它们基本是“秒杀”，所以本文想说点“有点创意”的花指令，至少能对付OD的插件。

 

二、创意的核心

[2.1]花指令因何被发现

“jmp/call/ret+垃圾数据”的方法之所以容易被检测，原因是“意图太明显”，具体说任何一种检测手段，都是基于以下两点：

①检测跳转结构的固定形态特征，当然这不是绝对的，如果检测机制没能预见到这种形态特征，此点可以忽略，本文后边会提到一些这样的情况。

 

②用可靠的方法直接证明，垃圾数据部分在任何情况下都不会被执行。应该说该点是对“不可执行花指令”的无敌检测手段，然而却难在“可靠”二字上，目前已知的实践，只是做到“可供参考”的程度。

[2.2]