花指令 用c语言,最新一批花指令

【深层】伪装 PEtite 2.2 -> Ian Luck 汇编代码：

============================

伪装代码部分：

============================

mov eax,0040E000

push 004153F3

push dword ptr fs:[0]

mov dword ptr fs:[0],esp

pushfw

pushad

push eax

xor ebx,ebx

pop eax

popad

popfw

pop dword ptr fs:[0]

pop eax

jmp XXXXXXXX     '执行到程序的原有OEP

============================

【深层】伪装 WCRT Library (Visual C++) DLL Method 1 -> Jibz 二进制代码 + 汇编代码：

============================

伪装代码部分：

============================

使用二进制粘贴以下代码：

55 8B EC 83 7D 0C 01 75 41 A1 C0 30 00 10 85 C0 74 0A FF D0 85 C0 75 04 6A FE EB 17 68 0C 30 00 10 68 08 30 00 10 E8 89 00 00 00 85 C0 59 59 74 08 6A FD FF 15 08 20 00 10 68 04 30 00 10 68 00 30 00 10 E8 52 00 00 00 59 59

粘贴完毕后，再添加2行汇编语句：

jmp XXXXXXXX     '执行到程序的原有OEP

retn 0C

1。伪装 vc

VC++程序的入口代码:

PUSH EBP

MOV EBP,ESP

PUSH -1

push 415448         -\___

PUSH 4021A8         -/   在这段代码中类似这样的操作数可以乱填

MOV EAX,DWORD PTR FS:[0]

PUSH EAX

MOV DWORD PTR FS:[0],ESP

ADD ESP,-6C

PUSH EBX

PUSH ESI

PUSH EDI

ADD BYTE PTR DS:[EAX],AL   /这条指令可以不要!

jmp 跳转到程序原来的入口点

******************************************************************************************

2。跳转

somewhere:

nop         /"胡乱"跳转的开始...

jmp 下一个jmp的地址   /在附近随意跳

jmp ...       /...

jmp 原入口的地址   /跳到原始oep

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<

新入口: push ebp

mov ebp,esp

inc ecx

push edx

nop

pop edx

dec ecx

pop ebp

inc ecx

loop somewhere   /跳转到上面那段代码地址去！

3. 伪装 C

融合

把A的代码换成B的

push ebp

mov ebp,esp

push -1

push 111111

push 222222

mov eax,fs:[0]

push eax

mov fs:[0],esp

pop eax

mov fs:[0],eax

pop eax

pop eax

pop eax

pop eax

mov ebp,eax

jmp 老入口

4. c ++

push ebp

mov ebp,esp

push -1

push 111111

push 222222

mov eax,fs:[0]

push eax

mov fs:[0],esp

pop eax

mov fs:[0],eax

pop eax

pop eax

pop eax

pop eax

mov ebp,eax

5.Microsoft Visual C++ 6.0

PUSH -1

PUSH 0

PUSH 0

MOV EAX,DWORD PTR FS:[0]

PUSH EAX

MOV DWORD PTR FS:[0],ESP

SUB ESP,68

PUSH EBX

PUSH ESI

PUSH EDI

POP EAX

POP EAX

POP EAX

ADD ESP,68

POP EAX

MOV DWORD PTR FS:[0],EAX

POP EAX

POP EAX

POP EAX

POP EAX

MOV EBP,EAX

JMP 原入口

6.

在mov ebp,eax

后面加上

PUSH EAX

POP EAX

7:

防杀精灵一号防杀代码:

push ebp

mov ebp,esp

push -1

push 666666

push 888888

mov eax,dword ptr fs:[0]

push eax

mov dword ptr fs:[0],esp

pop eax

mov dword ptr fs:[0],eax

pop eax

pop eax

pop eax

pop eax

mov ebp,eax

jmp 入口

8:

防杀精灵二号防杀代码:

push ebp

mov ebp,esp

push -1

push 0

push 0

mov eax,dword ptr fs:[0]

push eax

mov dword ptr fs:[0],esp

sub esp,68

push ebx

push esi

push edi

pop eax

pop eax

pop eax

add esp,68

pop eax

mov dword ptr fs:[0],eax

pop eax

pop eax

pop eax

pop eax

mov ebp,eax

jmp 入口

9.

防杀精灵终极防杀代码

push ebp

mov ebp,esp

add esp,-0C

add esp,0C

push eax

jmp入口

10:

***彩衣(金色鱼锦衣)花代码

push ebp

mov ebp,esp

add esp,-0C

add esp,0C

mov eax,原入口

push eax

retn

11:

***彩衣(虾米披风)花代码

push ebp

nop

nop

mov ebp,esp

inc ecx

nop

push edx

nop

nop

pop edx

nop

pop ebp

inc ecx

loopd /跳转到下面那段代码地址去！

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<

nop         /"胡乱"跳转的开始...

jmp 下一个jmp的地址   /在附近随意跳

jmp ...       /...

jmp 原入口的地址   /跳到原始oep

12.

VC++5.0代码(***彩衣无限复活袍):

PUSH EBP

MOV EBP,ESP

PUSH -1

push 415448             -\___

PUSH 4021A8             -/   在这段代码中类似这样的操作数可以乱填

MOV EAX,DWORD PTR FS:[0]

PUSH EAX

MOV DWORD PTR FS:[0],ESP

ADD ESP,-6C

PUSH EBX

PUSH ESI

PUSH EDI

ADD BYTE PTR DS:[EAX],AL   /这条指令可以不要!

jo 00401000           /原入口

jno 00401000           /原入口

db 0e8h             /花代码

xxxxxx:       nop         \

/|\           POP EAX     |看了，其实这两部分就是花指令

|         POP EAX     |

|         POP EAX     /

|         JMP yyyyyy (跳回旧入口点：00100016DB )

|

|

|           push ebp      

|           mov ebp,esp

|           inc ecx

|           push edx

|           nop

|           pop edx

|           dec ecx

|           pop ebp

|         inc ecx

|         MOV DWORD PTR FS:[0],EAX   \

|           POP EAX               |

|           POP EAX               \

|           MOV DWORD PTR FS:[0],EAX   |(注意了。。花指令)

|           POP EAX               /

|           POP EAX               |

|           MOV DWORD PTR FS:[0],EAX   /

|           loop xxxxxx (这里我向上跳~地址也是自己选的~~)

|_________________++++++(转到地址:100036c3 往回跳)

--------------------------------------------------------------

代码如下： 神话

nop

nop

nop

mov ebp,esp

push -1

push 111111

push 222222

mov eax,dword ptr fs:[0]

push eax

mov dword ptr fs:[0],esp

pop eax

mov dword ptr fs:[0],eax

pop eax

pop eax

pop eax

pop eax

mov ebp,eax

mov eax,原入口

push eax

retn

代码如下： 无极

nop

mov   ebp, esp

push   -1

push   0A2C2A

push   0D9038

mov   eax, fs:[0]

push   eax

mov   fs:[0], esp

pop   eax

mov   fs:[0], eax

pop   eax

pop   eax

pop   eax

pop   eax

mov   ebp, eax

mov   eax, 原入口

jmp   eax

代码如下： 金刚

nop

nop

mov   ebp, esp

push   -1

push   415448

push   4021A8

mov   eax, fs:[0]

push   eax

mov   fs:[0], esp

add   esp, -6C

push   ebx

push   esi

push   edi

add   [eax], al

mov   eax,原入口

jmp   eax

代码如下： 杀破浪

nop

mov   ebp, esp

push   -1

push   0

push   0

mov   eax, fs:[0]

push   eax

mov   fs:[0], esp

sub   esp, 68

push   ebx

push   esi

push   edi

pop   eax

pop   eax

pop   eax

add   esp, 68

pop   eax

mov   fs:[0], eax

pop   eax

pop   eax

pop   eax

pop   eax

mov   ebp, eax

mov   eax, 原入口

jmp   eax

代码如下： 痴情大圣

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

push   ebp

mov   ebp, esp

add   esp, -0C

add   esp, 0C

mov   eax, 原入口

push   eax

retn

代码如下： 如果*爱

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

nop

push   ebp

mov   ebp, esp

inc   ecx

push   edx

nop

pop   edx

dec   ecx

pop   ebp

inc   ecx

mov   eax, 原入口

jmp   eax

--------------------------------------------------------

灰鸽子万能文件捆绑器 VIP2005 -> 葛军 *

push ebp

mov ebp,esp

add esp,-124

push ebx

push esi

push edi

xor eax,eax

mov dword ptr ss:[ebp-124],eax

jmp 入口

----------------------------------------------------------

PUSH EBP

MOV EBP,ESP

MOV EAX,0

PUSH EAX

CALL 下个指令 ↓

POP EAX

SUB EAX,0

MOV ECX,0

MOV EDX,0

MOV ESI,0

MOV EDI,0

MOV EBP,0

ADD EBP,EAX

POP EAX

POP EAX

POP EAX

POP EAX

POP EBP

PUSH 入口点

RETN

----------------------------------------------------------------

//Borland Delphi 6.0 - 7.0

PUSH EBP

MOV EBP,ESP

MOV ECX,6

PUSH 0   下面那个跳到这里

PUSH 0

DEC ECX

JNZ 往回跳

PUSH EBX

PUSH ESI

PUSH EDI

POP EDI

POP ESI

POP EBX

JMP 入口点

-----------------------------------------------------------------

push ebp

mov ebp,esp

inc edx

nop

pop edx

dec ecx

pop ebp

inc ecx

jmp 入口点

-----------------------------------------------------------------

push ebp

mov ebp,esp

push ebx

mov ebx,dword ptr ss:[ebp+8]

push esi

mov esi,dword ptr ss:[ebp+C]

push edi

mov edi,dword ptr ss:[ebp+10]

test esi,esi

jmp 入口

-----------------------------------------------------------------

0046D4BA             pop eax

0046D4BB             sub eax,7D

0046D4C0             push eax

0046D4C1   C3         retn

0046D4C2             call 0046D4BA

-------------------------------------------------------------------

伪装VC7。0花

最近抓的伪装VC7。0的花，很短

//---------------------------------

push 70

push 123456(数字随便)

call A(A为地址)

xor ebx,ebx

A地址:retn