UXP的入门特征码审查

最新推荐文章于 2024-10-19 11:57:29 发布

rePang1

最新推荐文章于 2024-10-19 11:57:29 发布

阅读量1k

点赞数

文章标签： c语言

本文链接：https://blog.csdn.net/qq_52556675/article/details/121340143

版权

本文介绍了UXP特征码审查的基本方法，重点关注了一段特定的特征码序列，并提供了一个简单的审查程序逻辑。该程序通过创建文件映射，利用PE文件结构找到OEP，然后对比前16个字节码来完成初步审查。

摘要由CSDN通过智能技术生成

关于UXP特征码的审查

只有画红线的部分会因为不同的程序字节码不同，其他的从EP开始基本不变对于基本的UXP可以很好的找到特征码 "\x60\xbe????\x8d\xbe????\x57\x83\xcd\xff",(问号表示不确定，其实如果能熟读PE文件结构的话可以把问号的内容还原出来,但是作为一个审查程序,没必要，这些特征码已经足够进行一些简单的审查了)

贴出源代码

#include<stdio.h>
#include<windows.h>
#define NAMELEN 20
#define SIGNLEN 32
typedef struct _SIGN
{
	char szName[NAMELEN];
	BYTE bSign[SIGNLEN+1];
}SIGN,*PSIGN;
SIGN Sign=
{
	"UPX","\x60\xbe????\x8d\xbe????\x57\x83\xcd\xff"
};
BOOL SignJuge(HANDLE hMap)
{
	LPVOID m_Base=NULL;
	m_Base=MapViewOfFile(hMap,FILE_MAP_READ|FILE_SHARE_READ,0,0,0);
	PIMAGE_DOS_HEADER m_DosHeader=(PIMAGE_DOS_HEADER)m_Base;
	//printf("Dos_Header: %x\n",m_DosHeader->e_lfanew);
	PIMAGE_NT_HEADERS m_NtHeader=(PIMAGE_NT_HEADERS)((DWORD)m_Base+(DWORD)m_DosHead