替换方法跟17.1的过程是一样的。
只是通杀的地址不一样。
两个断点位置
一
- 009728F9 5F pop edi //第一个断点位置
- 009728FA 5E pop esi
- 009728FB 5B pop ebx
- 009728FC 8BE5 mov esp,ebp
- 009728FE 5D pop ebp
- 009728FF C3 retn
复制代码 二
- 00972C7D 5F pop edi //第二个断位置
- 00972C7E 5E pop esi
- 00972C7F 5B pop ebx
- 00972C80 8BE5 mov esp,ebp
- 00972C82 5D pop ebp
- 00972C83 C3 retn
复制代码
三- 0099B6A5 C702 66003000 mov dword ptr ds:[edx],0x300066 //JMP 跳转的第一个位置 0
- 0099B6AB C742 04 3200360>mov dword ptr ds:[edx+0x4],0x360032
- 0099B6B2 C742 08 30002D0>mov dword ptr ds:[edx+0x8],0x2D0030
- 0099B6B9 C742 0C 6300620>mov dword ptr ds:[edx+0xC],金盾2016.006200>
- 0099B6C0 C742 10 6300390>mov dword ptr ds:[edx+0x10],0x390063
- 0099B6C7 C742 14 39002D0>mov dword ptr ds:[edx+0x14],0x2D0039
- 0099B6CE C742 18 6500340>mov dword ptr ds:[edx+0x18],0x340065
- 0099B6D5 C742 1C 6600310>mov dword ptr ds:[edx+0x1C],0x310066
- 0099B6DC C742 20 33002D0>mov dword ptr ds:[edx+0x20],0x2D0033
- 0099B6E3 C742 24 3000300>mov dword ptr ds:[edx+0x24],0x300030
- 0099B6EA C742 28 3000300>mov dword ptr ds:[edx+0x28],0x300030
- 0099B6F1 C742 2C 3000000>mov dword ptr ds:[edx+0x2C],0x30
- 0099B6F8 5F pop edi
- 0099B6F9 5E pop esi
- 0099B6FA 5B pop ebx
- 0099B6FB 8BE5 mov esp,ebp
- 0099B6FD 5D pop ebp
- 0099B6FE C3 retn
- 0099B6FF 0000 add byte ptr ds:[eax],al
复制代码
附件中给大家一个修改好的2016s样本研究:
一个修改过的2016s播放器样本.txt
(48 Bytes, 下载次数: 57, 售价: 100 枚梦想币)
|
评分
-
查看全部评分
|