再談delphi逆向的新方法

2019-09-10 09:01:58

字體：大中小

供稿：網(wǎng)友

今天定位瑞星殺毒軟件竟然在函數(shù)上面，一調(diào)用就殺了。。所以問了一下百度大哥，他給了幾點意見。大家可以一起參考一下：
delphi免殺的方法總結(jié)如下：
一。添加垃圾匯編代碼。
其實許多的朋友都是知道的，Delphi支持在代碼中嵌套匯編代碼。也就是說，如果加入了垃圾匯編代碼，就網(wǎng)網(wǎng)可以直接過免殺。
例如：
asm
nop
nop
nop
end;
這樣的形式。。。可以在多處加入這樣的垃圾代碼，該招數(shù)對瑞星效果不錯，對7.0的卡吧效果不明顯了，6.0時的卡吧基本通殺。PS：我也加了幾個花，瑞星就不報了。呵呵。。這招還是屢試不爽吼~
二.修改單元文件名。
許多的殺毒軟件喜歡查殺單元文件名，往往把單元文件名改名后，也可以達到很好的免殺的效果。。。

三.提取出部分函數(shù)，COPY到新建的單元里。
這種方法可以很好的改變程序的代碼執(zhí)行結(jié)構(gòu)。可以將自定義的部分函數(shù)給COPY到一個新建的單元中去。（注意加入該函數(shù)要使用的單元文件。）COPY進去以后的單元再加入到USES下。這樣，就不會受任何影響的完成調(diào)用功能了。適合查殺指定特征碼的殺毒軟件。

四.修改函數(shù)結(jié)構(gòu)。
其實這個是最難的，實現(xiàn)起來非常辛苦，而往往要調(diào)用的許多API都是WIN32下的。。。。NOD32牛X也就牛X到這里了，全區(qū)段的查殺函數(shù)名或函數(shù)結(jié)構(gòu)。雖然系統(tǒng)提供的不能夠很好的修改，但不代表每一次殺的都是系統(tǒng)的那部分撒（其實也就NOD32光明正大的去殺調(diào)用的WINDOWS提供的API，可能是他認(rèn)為某些函數(shù)只有黑客工具或木馬病毒類程序才會調(diào)用吧。）自定義函數(shù)名和結(jié)構(gòu)是可以改的。當(dāng)然，有一定的底子，如果還是初學(xué)階段連看都看不懂，還是不要改的比較好。。。。

以上方法給了我很大的啟發(fā)。呵呵。行動了。。。免殺小瑞星去~~

上一篇：破解圣經(jīng)之------滾瓜爛熟篇(背50遍)

下一篇：輸入表隱藏、加密的原理和手工實現(xiàn)