等价替换汇编指令

最新推荐文章于 2022-10-04 22:55:23 发布
最新推荐文章于 2022-10-04 22:55:23 发布
阅读量2.4k 收藏 6
点赞数 1
分类专栏： 转载文章 文章标签： 汇编 byte c

A开头
-------------------------------------------------------------------------------------------------------------------------------------
add   改adc
ADD   改ADC
ADD 1 改 sub -1
add dword ptr ss:[ebp-130],edx ---------adc dword ptr ss:[ebp-130],edx
ADD [EAX],CH----------------------------ADD [EAX],DH
ADD [EAX],BH 0038 ----------------------ADD [EAX+40],AL 0040 40
ADD [EAX+EAX*2+46],AL ------------------ADD [EAX+EAX*2+46],CL
ADD [EAX+40],DL 0050 40 ----------------0058 40 ADD [EAX+40],DL
ADD AH,CH 00EC -------------------------00F4 ADD AH,DH
add dword ptr ss:[ebp-130],edx -------- adc dword ptr ss:[ebp-130],edx
-------------------------------------------------------------------------------------------------------------------------------------
C开头
-------------------------------------------------------------------------------------------------------------------------------------
CMP   改SUB
call 复件_(4).004CF607 ----------------- push 复件_(4).004CF607
CMP DWORD PTR DS:[100170A4],0 -------------sub DWORD PTR DS:[100170A4],0
CALL ---------看到了CALL跟随进去看NOP就可以把CALL的地址该成NOP
方法2--看下附近有没有MOV修该成NOP看下可以免杀不。可以的话该XOR
方法3--看附近jnz跳转该下跳转的地址/可免杀不/
CALL EAX                         |CALL EBX
比效指令 CMP：看下是个比效指令 在看下JNZ条件转移指令
就是说CMP比效正确就跳那我们可以把CMP用NOP掉在把JNZ该成JMP
不进行CMP比效
CMP ESI,1
JNZ SHORT VVV.1000D793
-------------------------------------------------------------------------------------------------------------------------------------
D开头
-------------------------------------------------------------------------------------------------------------------------------------
DAA 组合的十进制加法调整指令 --------DAS   减法的十进制调整.
-------------------------------------------------------------------------------------------------------------------------------------
J开头
-------------------------------------------------------------------------------------------------------------------------------------
JE       改      JNB
JNZ      改      JNL
jnz      改      JB
JE       改      JNA
je       改      jb
jnz      改      jg
js       改      jp
je       改      jle
jnz      改      jle
je       改      jge
JE       改      jnz
JE       改      JB
JNS      改      POP ECX
JNS      改      jnc-jnb
JNB      改      JGE
jnb short fsg2_0.0040015D----------------ja short fsg2_0.0040015D
JMP     NEAR [1071c]---------------------JMP     NEAR [1071B]
jnz--je-jmp修改中要看下跳的地址是不是很重要说明[1]
JNZ 00874E85--MOV EAX,88B6D0 可以是该成JE 00874E85--MOV EAX,88B6D0
-------------------------------------------------------------------------------------------------------------------------------------
L开头
-------------------------------------------------------------------------------------------------------------------------------------
LEA EBP,[ESP+10]     改    LEA EBP,[ESP+10]  
-------------------------------------------------------------------------------------------------------------------------------------
M开头
-------------------------------------------------------------------------------------------------------------------------------------
MOVSX                            改      MOVZX
MOV EBP,ESP                      改      AND AH,CH
MOV [EBP-18],ESP                 改      MOV [EBP-18],AH
MOV EAX,[ESP+10]                 改      MOV EAX,[ESP+10]      
MOV [ESP+10],EBP                 改      MOV [ESP+10],EBP  
mov [ebp-256], eax               改      adc [ebp-226], eax
MOV EDI,[EBP+10]                 改      MOV     EDI,[EBP+11]
MOV EBX,DWORD PTR DS:[ESI]       改      XOR EBX,DWORD PTR DS:[ESI]
MOV EBP,ESP--------AND AH,CH
MOV EBX,DWORD PTR DS:[ESI]---------XOR EBX,DWORD PTR DS:[ESI]
-------------------------------------------------------------------------------------------------------------------------------------
P开头
-------------------------------------------------------------------------------------------------------------------------------------
push   改call
PUSH EBX PUSH EDI
PUSH ESI PUSH EAX
PUSH EDI PUSH ESI
PUSH EAX PUSH EBX
-------------------------------------------------------------------------------------------------------------------------------------
S开头
-------------------------------------------------------------------------------------------------------------------------------------
sbb 改adc
sub 改mov
SHL 改 SAL
SAR 改 SHR
sub ebp,7---------- add ebp,-7
sub ebx,eax----------sbb esi,ecx
SBB ECX,DWORD PTR DS:[ESI+2]----------ADC ECX,DWORD PTR DS:[ESI+2]
PUSH    EAX          改        PUSH    EBX    
SUB     ESP,EAX      改        SUB     ESP,EAX  
PUSH    EBX          改        PUSH    EDI            
PUSH    ESI          改        PUSH    EAX                
PUSH    EDI          改        PUSH    ESI
sub ebx,eax----------sbb esi,ecx
-------------------------------------------------------------------------------------------------------------------------------------
T开头
-------------------------------------------------------------------------------------------------------------------------------------
TEST ESI,ESI-------改------- AND     ESI,ESI
-------------------------------------------------------------------------------------------------------------------------------------
X开头
-------------------------------------------------------------------------------------------------------------------------------------
xor 改sub
XOR     [EAX],AL-------改--------MOV     [EAX],AL
XOR EAX,EAX-----改-------OR EAX,EAX
-------------------------------------------------------------------------------------------------------------------------------------
其他
--------------------------------------------------
修改jd改为JG还可以看下JB一般都是2个字节，2进制看下
ascll吗，基本上还可以修改大小的，还有的是看下跳转
jb-------------jg
-----------------------------------------------
CALL ---------看到了CALL跟随进去看NOP就可以把CALL的地址该成NOP
方法2--看下附近有没有MOV修该成NOP看下可以免杀不。可以的话该XOR
方法3--看附近jnz跳转该下跳转的地址/可免杀不/
JNZ 00874E85---PUSH DWORD PTR DS:[88F658]
PUSH下面MOV ECX,88C0AC就可以JNZ该到MOV连接
------------------------------------------------------------
-----------------------------------------------------------
005E 01 ADD BYTE PTR DS:[ESI+1],BL 修改方法
006E 01 ADD BYTE PTR DS:[ESI+1],CH 这样的成功机会不大看运气
------------------------------------------------------------
修改这样的命令要看下 1071C的地址，有没有，可以修改的
本身怎个命令是不可以修改的
JMP DWORD PTR DS:[1071C]----DS:[1071b]
还可以看下上下有没有空的代码来换下位置
------------------------------------------------------------
看下面的命令 观察上下的指令来修改|
CALL EAX                         |CALL EBX
MOV DWORD PTR SS:[EBP-1C],EAX    |MOV DWORD PTR SS:[EBP-1C],EBX
---------------------------------------------------------------
比效指令 CMP：看下是个比效指令 在看下JNZ条件转移指令
就是说CMP比效正确就跳那我们可以把CMP用NOP掉在把JNZ该成JMP
不进行CMP比效
CMP ESI,1
JNZ SHORT VVV.1000D793
---------------------------------------------------------------
看下MOV数据传送指令 很明白就是将ESI给ESP+14
那看下JE跳下去的指令XOR AL,AL没有用可以NOP掉
MOV [ESP+14],ESI
JE 1000A74B 跳转去下个指令XOR AL,AL
修改成
MOV ESP,ESI
ADD ESP,14
----------------------------------------------------------------
LEA有效地址传送指令，遇到这样的指令不要该他可能会不能运行
LEA ECX,[ESP+10]
修改思路可以看下，上面的指令，如下
MOV EAX,DWORD PTR DS:[EBX]
CMP EAX,-1
JE 100017E9 到达的就是LEA ECX,[ESP+10]
上面可以看出是一系列的比对指令，最后LEA地址传
可以把MOV CMP JE 三个比对NOP掉在把LEA写到MOV CMP JE地址上，在用
JMP跳到下个指令运行
----------------------------------------------------------------
                 修改大小写在汇编里的变化
------------------------------------------------------------
INS BYTE PTR ES:[EDI],DX 小<l>------------------DEC ESP大<L>
PREFIX ADDRSIZE: 小<g> ----------------INC EDI 大<G>

=================================================================
XCHG EAX,ESP -----------PUSHFD
数据交换指令 XCHG       标志传送指令 PUSHF

月下孤笔
关注
专栏目录
免杀等价替换汇编指令修改
10-02
“免杀等价替换汇编指令修改”这一标题所指代的技术，是通过修改程序中的汇编指令，使其功能保持不变但形式上有所差异，从而绕过现有的安全检测机制。这种技术通常被用于合法的逆向工程、软件调试或对抗性测试，但在...
函数调用过程中栈空间的变化
ma_de_hao_mei_le的博客
05-06 836
友链 参考链接： 这个ppt真心不赖 备份连接 第二部分： 我们首先要明白，在内存中，栈只是一个概念，它并不是实实在在存在的东西 他是由ss、ebp和esp这三个寄存器定义出来的 ss栈段寄存器定义了所谓的栈在内存中的范围，即起始地址至终止地址 在这个内存范围内，我们可以定义自己的栈空间 在内存中，栈的增长方向通常为向低地址生长 那么ebp和esp寄存器就分别指向了栈的底部（高地址）和栈的顶部（低地址） 每次push都会导致esp变得更小，每次pop都会让esp变得更大 那么到了这里，我们对栈就有
栈操作
FrankieWang008的专栏
07-22 1478
首先看如下图-1演示的用c语言编写的例子程序。     ┌————————————————————┐     │ 1．   void fun()                       │     │ 2．   {                                │     │ 3．       printf(“Hello World\n”);   │     │ 4．
程序员应了解的那些事（17）C语言过程活动记录（Active Record）/ ESP、EBP寄存器
qfturauyls的博客
08-07 1353
【AR-1】 活动记录，就是在程序执行的过程中函数调用时栈上的内容变化。一个函数被调用，反映在栈上的与之相关的内容被称为一帧，其中包含了参数、返回地址、老ebp值、局部变量以及esp和ebp。 C语言默认的调用规约为cdecl，参数从右往左依次入栈，之后是函数的返回地址入栈，接着是老ebp入栈。 ESP是栈顶指针，EBP就基指针寄存器，用它可以存取栈中的数据，向上(栈底方向)可以获取返回地址、参数值， 向下(栈顶方向)可以获取函数局部变量值。一般而言，SS:[eb...
ebp 函数堆栈esp_函数参数压栈，栈帧ebp,esp怎样移动的？
weixin_39780784的博客
12-22 442
压栈一次esp-4，ebp不变esp是栈顶指针寄存器，堆栈操作只和esp有关比如有一个函数a，有两个参数，一般是这样的PUSH 1 参数2压栈，esp-4PUSH 2 参数1压栈，esp-4CALL a 调用a:PUSH EBP 保存ebpMOV EBP,ESP 改变栈帧，以后访问参数通过ebp，访问局部变量通过espSUB ESP,8 分配局部变量空间...ADD ESP,8POP EBP 恢复...
反汇编代码分析--函数调用
dolphin98629的专栏
12-01 7097
C++反汇编代码分析--函数调用代码如下：#include "stdlib.h"int sum(int a,int b,int m,int n){ return a+b;}void main(){ int result = sum(1,2,3,4); system("pause");}　　有四个参数的sum函数，接着在main方法中调用sum函数。在debug环境下，单步调试如下：11:   void main()12:   {00401060   push        ebp;保存ebp，执行这句之前，
木马免杀等价替换汇编指令
01-18
根据提供的标题、描述以及部分上下文内容，我们可以深入探讨“木马免杀等价替换汇编指令”这一主题。在网络安全领域，特别是针对恶意软件（如木马）的设计与防御中，了解如何通过修改底层汇编指令来规避防病毒软件的...
ParsePe_等价替换PE文件指令_解析PE文件_
10-03
进行等价替换需注意以下几点： 1. **指令兼容性**：确保替换后的指令在目标机器上能正确执行，且与原指令有相同的效果。 2. **重定位**：替换指令可能会影响程序的地址布局，需要相应地更新重定位信息。 3. **调试...
一些汇编命令的整理
11-16
### 汇编语言指令详解 #### 数据传送指令 数据传送指令是汇编语言中最基本且最常用的指令之一，主要用于实现不同数据结构之间的值传递。 ##### 1.1 通用数据传送指令 **MOV指令** - **定义**：MOV指令用于在...
汇编-第8课移位指令和串操作指令.pdf
01-26
在汇编语言中，移位指令和串操作指令是编程中非常重要的部分，它们提供了高效的数据处理能力。本文将详细讲解这些概念。 首先，我们来看移位指令。移位指令主要包括逻辑移位（SHL、SHR）、算术移位（SAL、SAR）以及...
xor eax, ebp的问题
陈刚编程心得与知识集
03-20 2848
代码： 004011B0 $ 55 push ebp 004011B1 . 8BEC mov ebp,esp 004011B3 . 81EC 28070000 sub esp,0x728 004011B9 . A1 BCA04000 mov eax,dword ptr ds:[0x40A0BC] 004011BE . 33
第十五课_几条汇编指令
ELaXiaoSi的博客
10-26 2372
前言 上一节说了，内存的读写。这样就可以讲几条汇编指令了。mov、add、sub、and、or、xor、not共7条汇编指令，会把每条指令的使用范围说清楚，可能比较枯燥。 先说明几个标记符号吧。只是为了后面方便写。 r:通用寄存器（register） m:内存（memory） imm:立即数（immediate） r、m、imm这三个后面加数字，那么这个数字表示多少位。例如：r8：表示8位的寄存器。m32：表示32位的内存。imm16：表示16位的立即数。 mov指令 mov指令之前就.
＜转＞ xor eax, ebp” being used
Promise_Code的博客
05-16 423
I just tried compiling a couple of C++ snippets on VS2010 and analyzed the executables on IDA Pro. Something I noticed is that there most of them have something like the following at the start(shortly after a call to __security_check_cookie) xor eax, ebp a
EAX、ECX、EDX、EBX寄存器的作用
01-15 4122
一般寄存器:AX、BX、CX、DX AX:累积暂存器，BX:基底暂存器，CX:计数暂存器，DX:资料暂存器 索引暂存器:SI、DI SI:来源索引暂存器，DI:目的索引暂存器 堆叠、基底暂存器:SP、BP SP:堆叠指标暂存器，BP:基底指标暂存器 EAX、ECX、EDX、EBX：為ax,bx,cx,dx的延伸，各為32位元 ESI、EDI、ESP、EBP：為si,di,
【汇编】CPU 指令
ranmaxli的博客
03-22 2940
七、CPU 指令 7.1 一个实例 了解寄存器和内存模型以后，就可以来看汇编语言到底是什么了。下面是一个简单的程序example.c。 int add_a_and_b(int a, int b) { return a + b; } int main() { return add_a_and_b(2, 3); } gcc 将这个程序转成汇编语...
IsBadReadPtr函数和异常处理
CoderAldrich的专栏
10-21 2274
起因是优化代码性能，注意到这个函数，搜了一下发现是微软弃用的函数，说是有线程安全问题。经过一系列操作发现，处理大文件时这个函数会导致耗时变长，于是就研究一下这个函数。 首先看函数开头： mov edi, edi push ebp mov ebp, esp push 0FFFFFFFEh push offset stru_77991A20 push offset FindResourceExA_SEH mov eax, large fs:0 push ea
花指令详解
最新发布
m0_51246873的博客
10-04 4966
逆向CTF花之令详解
简明x86汇编语言教程(4)[修订版]
boat_man的专栏
12-28 521
在前面的章节中，我们已经了解了寄存器的基本使用方法。而正如结尾提到的那样，仅仅使用寄存器做一点运算是没有什么太大意义的，毕竟它们不能保存太多的数据，因此，对编程人员而言，他肯定迫切地希望访问内存，以保存更多的数据。
汇编语法
百里杨的博客
09-11 969
1、通用寄存器 EAX,EBX,ECX,EDX,ESI,EDI,ESP,EBP, 它 们 的低 16 位就是 8086 的 AX,BX,CX,DX,SI,DI,SP,BP,它们的含义如下: EAX：累加器 EBX：基址寄存器(Base) ECX：计数器 EDX：数据寄存器(Data) ESI：源地址指针寄存器(Source) EDI：目
汇编语言习题详解及解答
这些习题涵盖了汇编语言的基本概念、数据结构、算术运算、内存管理以及指令使用技巧，有助于学生巩固和理解汇编语言编程的基础知识。通过解决这些问题，学习者可以提升对指令集架构、寻址方式和数据处理的理解，并...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值