;跳转到 函数执行后的吓一吓一跳指令继续执行END_EXIT: ;程序结束的代码不关注 mov ax, 4c00h int 21h
看到上面的代码发现了什么,是不是和我们上面的图很像...正好10个,我们的寄存器都不够用了怎么办
3.更高级的Call带参数
我们这个时候就会想到,寄存器已经不能满足我们的需求,这个时候,可以使用栈,我们可以使用栈来保存信息
出栈的时候栈平衡(就是使栈空间不被破坏...+2
mov bx,[bp+ 4]
add ax,bx
ret
在这里应该注意到了,我们用Call调用的时候,为什么函数内部要+2
原因是当这个子程序执行完毕的时候,需要返回到主程序执行...,因为为了保证汇编代码不出错
每走一次代码都会重新反汇编
2.花指令主要对抗的是静态调试,因为病毒是不能运行的,只能看二进制和汇编,这个时候怎么办
我们发现了,他要jmp, jmp 1个字节,这个时候可以写个工具去弄...,所以没有完整的花指令去除工具,到最后,可能你需要自己去分析,自己去修改了.