无心过客 2008-6-19 02:23
求教大侠看来看这处特征修改方法
鸽子的。过卡巴表面。一共8个。。已经改了6处。。就差这两处了。实在头疼。。哥哥姐姐。帮忙看下。。谢谢。。
剩下的两处的第一处是
[特征] 000A08FC_00000002 004A14FC （内存地址）
×××××××××××××××××××××××××××××××××××××××
004A1A0E 5D pop ebp
004A1A0F C3 retn
004A1A10 8600 xchg byte ptr ds:[eax],al
004A1A12 0000 add byte ptr ds:[eax],al
004A1A14 181A sbb byte ptr ds:[edx],bl
004A1A16 4A dec edx
004A1A17 00C8 add al,cl
004A1A19 6B40 00 98 imul eax,dword ptr ds:[eax],-68
004A1A1D 6B40 00 BC imul eax,dword ptr ds:[eax],-44
004A1A21 6940 00 68694000 imul eax,dword ptr ds:[eax],457823>
004A1A28 40 inc eax
004A1A29 6C ins byte ptr es:[edi],dx
004A1A2A 40 inc eax
004A1A2B 0010 add byte ptr ds:[eax],dl
004A1A2D 6C ins byte ptr es:[edi],dx
004A1A2E 40 inc eax
004A1A2F 00F4 add ah,dh
004A1A31 7B 40 jpo short 457823_.004A1A73
004A1A33 00C4 add ah,al
004A1A35 7B 40 jpo short 457823_.004A1A77
004A1A37 002C7C add byte ptr ss:[esp+edi*2],ch
004A1A3A 40 inc eax
004A1A3B 00FC add ah,bh
004A1A3D 7B 40 jpo short 457823_.004A1A7F
004A1A3F 0020 add byte ptr ds:[eax],ah
004A1A41 2A41 00 sub al,byte ptr ds:[ecx]
004A1A44 F0:2941 00 lock sub dword ptr ds:[ecx],eax
004A1A48 5C pop esp －－－－－－－－－－－－－－－－ 特征码在这里（试过跳转不行。和上面的POP调换不行）请教？
004A1A49 7F 40 jg short 457823_.004A1A8B
004A1A4B 002C7F add byte ptr ds:[edi+edi*2],ch
004A1A4E 40 inc eax
004A1A4F 0064ED 40 add byte ptr ss:[ebp+ebp*8+40],ah
004A1A53 00E4 add ah,ah
004A1A55 EB 40 jmp short 457823_.004A1A97
004A1A57 00D0 add al,dl
004A1A59 F5 cmc
004A1A5A 40 inc eax
004A1A5B 00A0 F5400078 add byte ptr ds:[eax+780040F5],ah
004A1A61 1F pop ds
004A1A62 41 inc ecx
004A1A63 0000 add byte ptr ds:[eax],al
004A1A65 1F pop ds
004A1A66 41 inc ecx
×××××××××××××××××××××××××××××××××××××
第二处是：[特征] 000A08FC_00000002 004A14FC（内存地址）
004A14FC A8 37 test al,37 －－－－－－－－－－－－－－－－－－－－－－特征码处（这是CALL里面的数据,跳转不行。改xchg jecxz 不行。－1不行。）
004A14FE F6FF idiv bh
004A1500 8B55 FC mov edx,dword ptr ss:[ebp-4]
004A1503 8D85 30FEFFFF lea eax,dword ptr ss:[ebp-1D0]
004A1509 E8 421AF6FF call 457823_.00402F50
004A150E 8D85 30FEFFFF lea eax,dword ptr ss:[ebp-1D0]
－－－－－－－－－－－－－－－－－
004A14FB E8 A837F6FF call 457823_.00404CA8 －－－－－－－－－－－－－－－－上面特征码上面的CALL
004A1500 8B55 FC mov edx,dword ptr ss:[ebp-4]
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
上面的CALL跟随到
00404CA8 85D2 test edx,edx 跟随到这。
00404CAA 74 61 je short 457823_.00404D0D
00404CAC 85C9 test ecx,ecx
00404CAE ^ 0F84 3CFDFFFF je 457823_.004049F0
00404CB4 3B10 cmp edx,dword ptr ds:[eax]
00404CB6 74 5C je short 457823_.00404D14
－－－－－－－－－－－－－－－－
摘的太多了。估计你们眼花了。。再次谢过了。。麻烦大侠看下。。感谢。。请教修改方法。。。
无心过客 2008-6-21 00:24
。。。。。。。不是吧。。。呵呵。还是谢谢能赏句话。。