介紹一種新的免殺方法！今天定位一個(gè)遠(yuǎn)控過(guò)BitDefender的特征碼！！！地址00496034�。。。∥覀兛纯淳唧w代碼��！ 0049602D: 75 F9 JNZ SHORT 00496028 0049602F: 51 PUSH ECX 00496030: 53 PUSH EBX 00496031: 56 PUSH ESI 00496032: 57 PUSH EDI 00496033: 8945 FC MOV [EBP-4],EAX （特征碼在這里） 00496036: 33C0 XOR EAX,EAX 00496038: 55 PUSH EBP 00496039: 68 22724900 PUSH 497222 0049603E: 64:FF30 PUSH DWORD PTR FS:[EAX] 按照我們以前的修改方法 無(wú)非就是 mov [ebp-4],eax 和xor eax,eax調(diào)換位置 或者 push 上面4組指令 再來(lái)就是最頂部jnz指令改為相近指令！或者直接來(lái)個(gè)乾坤大挪移? 對(duì)于這處特征碼 Bitdefender真的不愧為世界第一殺毒 之前老覺(jué)得小紅傘BT 沒(méi)想到這個(gè)更BT 定位在代碼段也那么厲害 這些方法全用上了 依然無(wú)效 而且上面所用的方法 根本不能修改此處 任何一點(diǎn)稍微動(dòng)一下 程序直接不能運(yùn)行！ 我們仔細(xì)看看這段代碼。 。 。 頂部的JNZ 我們不去管他 即使能修改 恐怕也達(dá)不到免殺目的。 再下來(lái) 4條PUSH指令 我們知道PUSH再匯編中是進(jìn)棧指令， 最理想的方法就是對(duì)調(diào)PUSH來(lái)達(dá)到免殺目的， 那是上面說(shuō)個(gè)這個(gè)方法無(wú)效。 所以即使你把PUSH換成POP 同樣不行！接下來(lái)我們看看這句， MOV [EBP-4],EAX 這里不難理解 MOV 在匯編中是傳送指令 上面這句我們理解為 把EBP-4的值 賦予EAX ， 下來(lái)一句 XOR EAX,EAX 異或運(yùn)算 這句話(huà)的意思就是 把EAX的值歸0 這里不是有矛盾嗎？ 上下兩句的意思就是賦予EAX 為0 這里我就想到了一個(gè)新的免殺技巧 我們NOP掉 MOV [EBP-4],EAX XOR EAX,EAX 這兩句 重新寫(xiě)上mov eax,0 保存后 程序運(yùn)行正常 ， 免殺成功�。。。�！這里只是給大家一個(gè)思路 我不能保證這樣的修改方法 是否完全不影響程序 但是大家在免殺的時(shí)候 如果遇到同樣的難題的時(shí)候 不妨多一種方法而已！��！