本文探讨了如何创建有创意的花指令以对抗反调试工具，特别是针对OD插件。介绍了互补条件跳转、随机值确定标志位以及利用API返回确定值等策略，这些方法通过伪装跳转结构和利用确定性条件来降低被检测的可能性。然而，随着检测技术的发展，这些技巧的效果可能会逐渐减弱。
一、概述
“jmp/call/ret+垃圾数据”这样的花指令已经是相当“老掉牙”了，OD的插件对付它们基本是“秒杀”，所以本文想说点“有点创意”的花指令，至少能对付OD的插件。
二、创意的核心
[2.1]花指令因何被发现
“jmp/call/ret+垃圾数据”的方法之所以容易被检测，原因是“意图太明显”，具体说任何一种检测手段，都是基于以下两点：
①检测跳转结构的固定形态特征，当然这不是绝对的，如果检测机制没能预见到这种形态特征，此点可以忽略，本文后边会提到一些这样的情况。
②用可靠的方法直接证明，垃圾数据部分在任何情况下都不会被执行。应该说该点是对“不可执行花指令”的无敌检测手段，然而却难在“可靠”二字上，目前已知的实践，只是做到“可供参考”的程度。
[2.2]创意的
扫一扫
6812
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
