方法2:提取ShellCode中的机器码---->用OllyDBG随便打开一个exe程序---->把机器码直接二进制粘贴到OllyDBG---->得到反汇编码。
方法1:
1.我先写了个简单的Perl脚本,把里面的机器码提取出来,当然用其它语言或者手动提取也可以,比较快速的方法是先把ShellCode保存到记事本里,去掉前后的引号和多余代码,然后用查找替换把“\x”替换成空,再删除换行就可以了。
一次性提取代码如下(pick.pl):
# -w
while (<>)
{
while(/(x)(\w{2})/)
{
$code .=$2;
s/$1$2//;
}
}
open(HEX,">HEX.TXT") or die("error:$!");
print HEX $code;
在命令行运行
perl pick.pl ShellCode.cpp
就会把ShellCode里面的机器码提取到HEX.TXT文本文件中。
2.打开HEX.TXT,可以算出我这的机器码有222字节。然后复制所有机器码。
打开WinHEX,点新建,文件大小这里填150字节,只要大于机器码字节数的一半就行了。
然后点粘贴,选择剪贴板格式那选择“ASCII Hex”,确定就可以把机器码粘贴到WinHEX。
再把它保存成EXE文件,比如ShellCode.exe。
3.用C32Asm打开刚才保存的exe文件,点右键-->到对应汇编模式编辑,就可以看到汇编代码了。
现在机器码已经变成了汇编代码,就很容易看懂了。
我们可以在C32Asm里面对ShellCode进行修改,修改完只要记住变化了的机器码,然后在ShellCode.cpp里面改对应的机器码就行了。
方法2:
其实完全可以复制上面提取到的机器码,然后用OllyDBG随便打开一个exe程序,选择一块区域,直接右键-二进制-二进制粘贴,就可以看到ShellCode的反汇编代码了。而且这样更加简单。
我现在一般都是先用记事本替换提取机器码然后直接粘贴到OllyDBG里面查看的。
如下图:红色部分就是粘贴进去的机器码的反汇编代码。
方法2:
其实完全可以复制上面提取到的机器码,然后用OllyDBG随便打开一个exe程序,选择一块区域,直接右键-二进制-二进制粘贴,就可以看到ShellCode的反汇编代码了。而且这样更加简单。