学习日记——代码特征与壳的特征

代码特征：

VC6：

首先利用ExeinfoPE查壳

Microsoft Visual C++ ver 5.0/6.0

轻易得到其为VC6编写的代码，再点击区段查看，可以看到如下特征

.text  #代码段
.rdata #只读数据段
.data  #数据段
.rsrc  #资源段

再将程序拖入OD后有如下入口特征

push #若干个压栈

call dword ptr ds：[<&MSVCRT.__set_app_type>]
call dword ptr ds:[<&MSVCRT.__p__fmode>]
call dword ptr ds:[<&MSVCRT.__p__commode>]

先有几个压栈，然后调用了几个API（固定），同时可以点击m，看到区段特征。

VS2008：

VS2013与VS2008相似，但入口代码先为call，后为jmp，敲击enter进入call后会发现调用了如下几个特定的API

call dword ptr ds:[<&KERNEL32.GetSystemTimeAsFileT>]
call dword ptr ds:[<&KERNEL32.