有些东西还是不错,有许多已经是老东西了!
------------------------------------------------------
其实也不只是pcshare别的木马也都差不多
需要准备的软件为
1.定位特征码的软件 myccl 或者multiCcL1
2.修改软件c32asm ollydbg ultraedit winhex LordPE peditor w32dasm
3.一些辅助软件 peid oc Stud_PE ImportREC FixRes....辅助软件很多根据实际情况使用可以简化一些操作
以myccl定位为例(实际我一般也使用myccl定位比较快 只有他定不出我才用multiCcL1)定位特征码直到提示没有新的特征码出现为止
如果是复合特征码要每处都修改 用c32打开文件看一下特征码在什么位置 分析下是什么资源 看不出的用LordPE打开再看看 分析完了是什么资源再修改
像卡巴一般定位在text段可以用等价替换或者跳转到空白再跳回 一般复合特征注意不要漏掉
瑞星一般在text段或者重定位表 在重定位表直接用c32asm移动到新位置后再用LordPE把地址修改为移动后的地址
金山 跟 诺顿data段比较多 金山一般可以直接修改 诺顿需要修改调用 可以用w32dasm打开文件看看哪里调用了这个信息然后把这个信息修改位置 再修改调用为新地址就可以
江民一般也是text段 没什么特别之处 感觉末落了...他偶尔会定位在pe头 用peditor重建以下pe头就可以了
咖啡算比较不错的杀毒软件 你开始定位的时候他一般会定在输出表 实际一般不是你用multiCcL1这个定位保护输出表定位 就会发现咖啡的特征都是在一些无意义0000处 随便填充一些垃圾就可以
nod32杀毒方式比较特别 但不是不能修改也需要用multiCcL1 或者用myccl只定位text段 就会定出会发现除了jmp 就是call 一般改为2次调用就可以了
ewido (现在的avg)都说得很邪乎 其实他就是用的复合特征码比较早罢了 杀毒也是文件释放到内存后他才杀得所以出现加壳一般不过的现象 特征码修改都在一些很简单的位置
具体问题具体对待 学会举一反三
附 可能用到的
8088汇编速查手册
8088 汇编速查手册
一、数据传输指令
二、算术运算指令
三、逻辑运算指令
四、串指令
五、程序转移指令
六、伪指令
8088 汇编速查手册
一、数据传输指令
───────────────────────────────────────
它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据.
1. 通用数据传送指令.
MOV 传送字或字节.
MOVSX 先符号扩展,再传送.
MOVZX 先零扩展,再传送.
PUSH 把字压入堆栈.
POP 把字弹出堆栈.
PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈.
POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.
PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈.
POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.
BSWAP 交换32位寄存器里字节的顺序
XCHG 交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数)
CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX )
XADD 先交换再累加.( 结果在第一个操作数里 )
XLAT 字节查表转换.
── BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即
0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL )
2. 输入输出端口传送指令.
IN I/O端口输入. ( 语法: IN 累加器, )
OUT I/O端口输出. ( 语法: OUT ,累加器 )
输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时, 其范围是 0-65535.
3. 目的地址传送指令.
LEA 装入有效地址.
例: LEA DX,string ;把偏移地址存到DX.
LDS 传送目标指针,把指针内容装入DS.
例: LDS SI,string ;把段地址:偏移地址存到DS:SI.
LES 传送目标指针,把指针内容装入ES.
例: LES DI,string ;把段地址:偏移地址存到ES:DI.
LFS 传送目标指针,把指针内容装入FS.
例: LFS DI,string ;把段地址:偏移地址存到FS:DI.
LGS 传送目标指针,把指针内容装入GS.
例: LGS DI,string ;把段地址:偏移地址存到GS:DI.
LSS 传送目标指针,把指针内容装入SS.
例: LSS DI,string ;把段地址:偏移地址存到SS:DI.
4. 标志传送指令.
LAHF 标志寄存器传送,把标志装入AH.
SAHF 标志寄存器传送,把AH内容装入标志寄存器.
PUSHF 标志入栈.
POPF 标志出栈.
PUSHD 32位标志入栈.
POPD 32位标志出栈.
二、算术运算指令
───────────────────────────────────────
ADD 加法.
ADC 带进位加法.
INC 加 1.
AAA 加法的ASCII码调整.
DAA 加法的十进制调整.
SUB 减法.
SBB 带借位减法.
DEC 减 1.
NEC 求反(以 0 减之).
CMP 比较.(两操作数作减法,仅修改标志位,不回送结果).
AAS 减法的ASCII码调整.
DAS 减法的十进制调整.
MUL 无符号乘法.
IMUL 整数乘法.
以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算).
AAM 乘法的ASCII码调整.
DIV 无符号除法.
IDIV 整数除法.
以上两条,结果回送:
商回送AL,余数回送AH, (字节运算); 或商回送AX,余数回送DX, (字运算).
AAD 除法的ASCII码调整.
CBW 字节转换为字. (把AL中字节的符号扩展到AH中去)
CWD 字转换为双字. (把AX中的字的符号扩展到DX中去)
CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去)
CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去)
三、逻辑运算指令
───────────────────────────────────────
AND 与运算.
OR 或运算.
XOR 异或运算.
NOT 取反.
TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果).
SHL 逻辑左移.
SAL 算术左移.(=SHL)
SHR 逻辑右移.
SAR 算术右移.(=SHR)
ROL 循环左移.
ROR 循环右移.
RCL 通过进位的循环左移.
RCR 通过进位的循环右移.
以上八种移位指令,其移位次数可达255次.
移位一次时, 可直接用操作码. 如 SHL AX,1.
移位>1次时, 则由寄存器CL给出移位次数.
如 MOV CL,04
SHL AX,CL
四、串指令
───────────────────────────────────────
DS:SI 源串段寄存器 :源串变址.
ES:DI 目标串段寄存器:目标串变址.
CX 重复次数计数器.
AL/AX 扫描值.
D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量.
Z标志 用来控制扫描或比较操作的结束.
MOVS 串传送.
( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. )
CMPS 串比较.
( CMPSB 比较字符. CMPSW 比较字. )
SCAS 串扫描.
把AL或AX的内容与目标串作比较,比较结果反映在标志位.
LODS 装入串.
把源串中的元素(字或字节)逐一装入AL或AX中.
( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. )
STOS 保存串.
是LODS的逆过程.
REP 当CX/ECX<>0时重复.
REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX<>0时重复.
REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX<>0时重复.
REPC 当CF=1且CX/ECX<>0时重复.
REPNC 当CF=0且CX/ECX<>0时重复.
五、程序转移指令
───────────────────────────────────────
1>无条件转移指令 (长转移)
JMP 无条件转移指令
CALL 过程调用
RET/RETF 过程返回.
2>条件转移指令 (短转移,-128到+127的距离内)
( 当且仅当(SF XOR OF)=1时,OP1
JA/JNBE 不小于或不等于时转移.
JAE/JNB 大于或等于转移.
JB/JNAE 小于转移.
JBE/JNA 小于或等于转移.
以上四条,测试无符号整数运算的结果(标志C和Z).
JG/JNLE 大于转移.
JGE/JNL 大于或等于转移.
JL/JNGE 小于转移.
JLE/JNG 小于或等于转移.
以上四条,测试带符号整数运算的结果(标志S,O和Z).
JE/JZ 等于转移.
JNE/JNZ 不等于时转移.
JC 有进位时转移.
JNC 无进位时转移.
JNO 不溢出时转移.
JNP/JPO 奇偶性为奇数时转移.
JNS 符号位为 "0" 时转移.
JO 溢出转移.
JP/JPE 奇偶性为偶数时转移.
JS 符号位为 "1" 时转移.
3>循环控制指令(短转移)
LOOP CX不为零时循环.
LOOPE/LOOPZ CX不为零且标志Z=1时循环.
LOOPNE/LOOPNZ CX不为零且标志Z=0时循环.
JCXZ CX为零时转移.
JECXZ ECX为零时转移.
4>中断指令
INT 中断指令
INTO 溢出中断
IRET 中断返回
5>处理器控制指令
HLT 处理器暂停, 直到出现中断或复位信号才继续.
WAIT 当芯片引线TEST为高电平时使CPU进入等待状态.
ESC 转换到外处理器.
LOCK 封锁总线.
NOP 空操作.
STC 置进位标志位.
CLC 清进位标志位.
CMC 进位标志取反.
STD 置方向标志位.
CLD 清方向标志位.
STI 置中断允许位.
CLI 清中断允许位.
六、伪指令
───────────────────────────────────────
DW 定义字(2字节).
PROC 定义过程.
ENDP 过程结束.
SEGMENT 定义段.
ASSUME 建立段寄存器寻址.
ENDS 段结束.
END 程序结束.
等价替换代码
1)的作用是变换不影响执行效果的指令的
相对位置,如下指令的位置就是任意的,
可以有3!=6种变化:
mov ebx,23
xor ecx,ecx
lodsd
2)的作用是随机选取寄存器如:
– mov reg,[123456]
– mov [45678],reg
– reg就可以在eax,ebx,ecx....等通用寄存器之间进
行随机选择。
3)将一条指令替换为多条等价指令:
STOSD MOV [EDI],EAX,ADD EDI,4
MOV EAX,EDX PUSH EDX , POP EAX
POP EAX MOV EAX,[ESP] ADD ESP,4
4)多条指令替换为一条等价指令:
MOV [EDI],EAX STOSD
ADD EDI,4
PUSH EDX MOV EAX,EDX
XCHG EAX,EDX
POP EDX
5)一条指令替换为一条等价指令:
XOR EAX,EAX SUB EAX,EAX
ADD EXX,1 INC EXX
6)可以是不影响解密代码的指令
7)垃圾指令,不能影响代码执行效果的指
令,可以有单字节、双字节等垃圾指令。
32位汇编代码优化
代码优化的含义:
代码优化的目标当然是体积小和速度快,但是在通常的情况下二者就象鱼和熊掌一样不能得兼,我们通常寻找的是这二者的折中,究竟应该偏向何方,那就得具体看我们的实际需要.
但有些常识是我们应该牢记的,下面就结合我们最常遇到的具体情况来漫谈一下:
1.寄存器清0
我绝对不想再看到下面的写法:
1) mov eax, 00000000h ;5 bytes
看起来上面的写法很符合逻辑,但你应当意识到还有更加优化的写法:
2) sub eax, eax ;2 bytes
3) xor eax, eax ;2 bytes
看看后面的字节数你就应该理解为什么要这么作了,除此之外,在速度上也没有损失,他们一样快,但你喜欢xor还是sub呢?我是比较喜欢xor,原因很简单,因为我数学不好....
不过Microsoft比较喜欢sub....我们知道windows运行的慢....(呵呵,当然是玩笑这并不是真正原因X-D!)
2.测试寄存器是否为0
我也不希望看到下面的代码:
1) cmp eax, 00000000h ;5 bytes
je _label_ ;2/6 bytes (short/near)
[* 注意很多指令针对eax作了优化,你要尽可能多地实用eax,比如CMP EAX, 12345678h (5 bytes)
如果你使用其他寄存器,就是6bytes *]
让我们看看,简单的比较指令居然要用7/11 bytes,No No No,试试下面的写法:
2) or eax, eax ;2 bytes
je _label_ ;2/6 (short/near)
3) test eax, eax ;2 bytes
je _label_ ;2/6 (short/near)
呵呵,只有4/8 bytes,看看我们可节省多少字节啊3/4字节...那么接下来的问题是你喜欢OR还是TEST呢,就我个人而言,比较喜欢TEST,因为test不改变任何寄存器,并不向任何寄存器写入内容,这通常能在pentium机上取得更快的执行速度.
别高兴的太早,因为还有更值得我们高兴的事情,假如你要判断的的是eax寄存器,那么看看下面的,是不是更有启发?
4) xchg eax, ecx ;1 byte
jecxz _label_ ;2 bytes
在短跳转的情况下我们比2)和3)又节省了1字节.oh....___...
3.测试寄存器是否为0FFFFFFFFh
一些API返回-1,因此如何测试这个值呢?看你可能又要这样:
1) cmp eax, 0ffffffffh ;5 bytes
je _label_ ;2/6 bytes
hey,不要这样,写代码的时候想一想,于是有了下面的写法:
2) inc eax ;1 byte
je _label_ ;2/6 bytes
dec eax ;1 byte
可以节省3 bytes并且执行速度会更快.
4.置寄存器为0FFFFFFFFh
看看假如你是Api的作者,如何返回-1?这样吗?
1) mov eax, 0ffffffffh ;5 bytes
看了上面的不会再这么XXX了吧?看看下面的:
2) xor eax, eax / sub eax, eax ;2 bytes
dec eax ;1 byte
节省一个字!还有写法:
3) stc ;1 byte
sbb eax, eax ;2 bytes
这有时还可以优化掉1 byte:
jnc _label_
sbb eax, eax ;2 bytes only!
_label_: ...
我们为什么用asm呢?这就是原因.
5.寄存器清0并移入低字数值
1) xor eax, eax ;2 bytes
mov ax, word ptr [esi+xx] ;4 bytes
????--->不会吧,这可能是最多初学者的写法了,我当然原来也是,看了benny的文章之后我决定改写为:
2) movzx eax, word ptr [esi+xx] ;4 bytes
收获2 bytes!
下面的
3) xor eax, eax ;2 bytes
mov al, byte ptr [esi+xx] ;3 bytes
就相应改为:
4) movzx eax, byte ptr [esi+xx] ;4 bytes
我们应当尽可能利用movzx
5) xor eax, eax ;2 bytes
mov ax, bx ;3 bytes
因为执行速度不慢并通常能节省字节...
6) movzx eax, bx ;3 bytes
6.关于push,下面是着重代码体积的优化,因为寄存器操作总要比内存操作要快.
1) mov eax, 50h ;5 bytes
这样就小了1 word
2) push 50h ;2 bytes
pop eax ;1 byte
当操作数只有1字节时候,push只有2 bytes,否则就是5 bytes,记住!
下一个问题,向堆栈中压入7个0
3) push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
push 0 ;2 bytes
占用14字节,显然不能满意,优化一下
4) xor eax, eax ;2 bytes
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
push eax ;1 byte
可以更紧凑,但会慢一点的形式如下:
5) push 7 ;2 bytes
pop ecx ;1 byte
_label_: push 0 ;2 bytes
loop _label_ ;2 bytes
可以节省7字节....
有时候你可能会从将一个值从一个内存地址转移到另外内存地址,并且要保存所有寄存器:
6) push eax ;1 byte
mov eax, [ebp + xxxx] ;6 bytes
mov [ebp + xxxx], eax ;6 bytes
pop eax ;1 byte
试试push,pop
7) push dword ptr [ebp + xxxx] ;6 bytes
pop dword ptr [ebp + xxxx] ;6 bytes
7.乘法
当eax已经放入被乘数,要乘28h,如何来写?
1) mov ecx, 28h ;5 bytes
mul ecx ;2 bytes
好一点的写法如下:
2) push 28h ;2 bytes
pop ecx ;1 byte
mul ecx ;2 bytes
哇这个更好::
3) imul eax, eax, 28h ;3 bytes
intel在新CPU中提供新的指令并不是摆设,需要你的使用.
8.字符串操作
你如何从内存取得一个字节呢?
速度快的方案:
1) mov al/ax/eax, [esi] ;2/3/2 bytes
inc esi ;1 byte
代码小的方案:
2) lodsb/w/d ;1 byte
我比较喜欢lod因为他小,虽然速度慢了点.
如何到达字符串尾呢?
JQwerty's method:
9) lea esi, [ebp + asciiz] ;6 bytes
s_check: lodsb ;1 byte
test al, al ;2 bytes
jne s_check ;2 bytes
Super's method:
10) lea edi, [ebp + asciiz] ;6 bytes
xor al, al ;2 bytes
s_check: scasb ;1 byte
jne s_check ;2 byte
选择哪一个?Super的在386以下的更快,JQwerty的在486以及pentium上更快,体积一样,选择由你.
9.复杂一点的...
假设你有一个DWORD表,ebx指向表的开始,ecx是指针,你想给每个doword加1,看看如何作:
1) pushad ;1 byte
imul ecx, ecx, 4 ;3 bytes
add ebx, ecx ;2 bytes
inc dword ptr [ebx] ;2 bytes
popad ;1 byte
可以优化一点,但是好像没人用:
2) inc dword ptr [ebx+4*ecx] ;3 bytes
一条指令就节省6字节,而且速度更快,更易读,但好像没有什么人用?...why?
还可以有立即数:
3) pushad ;1 byte
imul ecx, ecx, 4 ;3 bytes
add ebx, ecx ;2 bytes
add ebx, 1000h ;6 bytes
inc dwor ptr [ebx] ;2 bytes
popad ;1 byte
优化为:
4) inc dword ptr [ebx+4*ecx+1000h] ;7 bytes
节省了8字节!
看一下lea指令能为我们干点什么呢?
lea eax, [12345678h]
eax的最后结果是什么呢?正确答案是12345678h.
假设 EBP = 1
lea eax, [ebp + 12345678h]
结果是123456789h....呵呵比较一下:
lea eax, [ebp + 12345678h] ;6 bytes
==========================
mov eax, 12345678h ;5 bytes
add eax, ebp ;2 bytes
5) 看看:
mov eax, 12345678h ;5 bytes
add eax, ebp ;2 bytes
imul ecx, 4 ;3 bytes
add eax, ecx ;2 bytes
6) 用lea来进行一些计算我门将从体积上得到好处:
lea eax, [ebp+ecx*4+12345678h] ;7 bytes
速度上一条lea指令更快!不影响标志位...记住下面的格式,在许多地方善用他们你可以节省时间和空间.
OPCODE
[BASE + INDEX*SCALE + DISPLACEMENT]
10.下面是关于病毒重定位优化的,惧毒人士请绕行...
下面的代码你不应该陌生
1) call gdelta
gdelta: pop ebp
sub ebp, offset gdelta
在以后的代码中我们这样使用delta来避免重定位问题
lea eax, [ebp + variable]
这样的指令在应用内存数据的时候是不可避免的,如果能优化一下,我门将会得到数倍收益,打开你的sice或者trw或者ollydbg等调试器,看看:
3) lea eax, [ebp + 401000h] ;6 bytes
假如是下面这样
4) lea eax, [ebp + 10h] ;3 bytes
也就是说如果ebp后面变量是1字节的话,总的指令就只有3字节
修改一下最初的格式变为:
5) call gdelta
gdelta: pop ebp
在某些情况下我们的指令就只有3字节了,可以节省3字节,嘿嘿,让我们看看:
6) lea eax, [ebp + variable - gdelta] ;3 bytes
和上面的是等效的,但是我们可以节省3字节,看看CIH...
11.其他技巧:
如果EAX小于80000000h,edx清0:
--------------------------------------------------
1) xor edx, edx ;2 bytes, but faster
2) cdq ;1 byte, but slower
我一直使用cdq,为什么不呢?体积更小...
下面这种情况一般不要使用esp和ebp,使用其他寄存器.
-----------------------------------------------------------
1) mov eax, [ebp] ;3 bytes
2) mov eax, [esp] ;3 bytes
3) mov eax, [ebx] ;2 bytes
交换寄存器中4个字节的顺序?用bswap
---------------------------------------------------------
mov eax, 12345678h ;5 bytes
bswap eax ;2 bytes
;eax = 78563412h now
Wanna save some bytes replacing CALL ?
---------------------------------------
1) call _label_ ;5 bytes
ret ;1 byte
2) jmp _label_ ;2/5 (SHORT/NEAR)
如果仅仅是优化,并且不需要传递参数,请尽量用jmp代替call
比较 reg/mem 时如何节省时间:
------------------------------------------
1) cmp reg, [mem] ;slower
2) cmp [mem], reg ;1 cycle faster
乘2除2如何节省时间和空间?
------------------------------------------------------------
1) mov eax, 1000h
mov ecx, 4 ;5 bytes
xor edx, edx ;2 bytes
div ecx ;2 bytes
2) shr eax, 4 ;3 bytes
3) mov ecx, 4 ;5 bytes
mul ecx ;2 bytes
4) shl eax, 4 ;3 bytes
loop指令
------------------------
1) dec ecx ;1 byte
jne _label_ ;2/6 bytes (SHORT/NEAR)
2) loop _label_ ;2 bytes
再看:
3) je $+5 ;2 bytes
dec ecx ;1 byte
jne _label_ ;2 bytes
4) loopXX _label_ (XX = E, NE, Z or NZ) ;2 bytes
loop体积小,但486以上的cpu上执行速度会慢一点...
比较:
---------------------------------------------------------
1) push eax ;1 byte
push ebx ;1 byte
pop eax ;1 byte
pop ebx ;1 byte
2) xchg eax, ebx ;1 byte
3) xchg ecx, edx ;2 bytes
如果仅仅是想移动数值,用mov,在pentium上会有较好的执行速度:
4) mov ecx, edx ;2 bytes
比较:
--------------------------------------------
1) 未优化:
lbl1: mov al, 5 ;2 bytes
stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
lbl2: mov al, 6 ;2 bytes
stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
---------
;14 bytes
2) 优化了:
lbl1: mov al, 5 ;2 bytes
lbl: stosb ;1 byte
mov eax, [ebx] ;2 bytes
stosb ;1 byte
ret ;1 byte
lbl2: mov al, 6 ;2 bytes
jmp lbl ;2 bytes
---------
;11 bytes
读取常数变量,试试在指令中直接定义:
-----------------------------
...
mov [ebp + variable], eax ;6 bytes
...
...
variable dd 12345678h ;4 bytes
2) 优化为:
mov eax, 12345678h ;5 bytes
variable = dword ptr $ - 4
...
...
mov [ebp + variable], eax ;6 bytes
呵呵,好久没看到这么有趣的代码了,前提是编译的时候支持代码段的写入属性要被设置.
最后介绍未公开指令SALC,现在的调试器都支持...什么含义呢:就是CF位置1的话就将al置为0xff
------------------------------------------------------------------
1) jc _lbl1 ;2 bytes
mov al, 0 ;2 bytes
jmp _end ;2 bytes
_lbl: mov al, 0ffh ;2 bytes
_end: ...
2) SALC db 0d6h ;1 byte ;)
PcShareVIP弄来的免杀思路
最新推荐文章于 2024-08-04 23:07:00 发布