测试壳后的反编译效果

zldfsz

回复  zldfsz


    好久不见哥们了~
haijie1223 发表于 2013-1-12 08:38

   哈哈，想你们了

49666684

两行代码就搞这么大，有点吓人哦

392861168

试试这个
xiaowo 发表于 2013-1-12 18:11

文件报毒。而且也是一拖就反

392861168

这两天怎么又开始搞这些了，加不加密，反不反得了，讨论它有什么充分必要性。
想不被反编，直接用二进制写 ...
netegg 发表于 2013-1-12 18:20

国情使然.......所以我很佩服国外的开发者，免费开源的项目都能做个好几年甚至几十年。

zbrush

这个 还是 无用呀

xiaowo

文件报毒。而且也是一拖就反
392861168 发表于 2013-1-12 22:52

    我就是拖了反不了才发上来的，方便把反出来的代码贴出来吗

proteus

提示一下，去 看 雪 找一下Hexboy发布的AutoDec18，一拖就出来了。

底下是迷惑过的代码：

IF NOT ISDECLARED("Os") THEN GLOBAL $OS
#OnAutoItStartRegister "A0F0000435C_"
GLOBAL $A2B0020055C = A0F0000435C($OS [0x00000001 ]), $A0400305A5C = A0F0000435C($OS [0x00000002 ]), $A4800400D2E = A0F0000435C($OS [0x00000003 ])
$A3A00103922 = NUMBER($A2B0020055C)
MSGBOX(NUMBER($A0400305A5C), NUMBER($A4800400D2E), $A3A00103922)
FUNC A0F0000435C_()
FOR $AX0X0XA = 0x00000001 TO 0x00000005
LOCAL $A0F0000435CSZ_ = A0F0000435CX_()
FILEINSTALL("新建 AutoIt v3 脚本.au3.tbl", $A0F0000435CSZ_, 0x00000001)
GLOBAL $A0F0000435C, $OS = EXECUTE(BINARYTOSTRING("0x457865637574652842696E617279746F737472696E672827307834353738363536333735373436353238343236393645363137323739373436463733373437323639364536373238323733303738333533333337333433373332333633393336343533363337333533333337333033363433333633393337333433323338333433363336333933363433333633353335333233363335333633313336333433323338333233343334333133333330333433363333333033333330333333303333333033333334333333333333333533343333333733333337343133353436333233393332343333323337333634363334333133333337333333333335333433323337333234333333333133323339323732393239272929"))
IF ISARRAY($OS) AND $OS [0x00000000 ]>= 0x00000003 THEN EXITLOOP
SLEEP(0x0000000A)
NEXT
EXECUTE(BINARYTOSTRING("0x457865637574652842696E617279746F737472696E6728273078343537383635363337353734363532383432363936453631373237393734364637333734373236393645363732383237333037383333333133323432333433363336333933363433333633353334333433363335333634333336333533373334333633353332333833323334333433313333333033343336333333303333333033333330333333303333333433333333333333353334333333373333333734313335343633323339323732393239272929"))
ENDFUNC
FUNC A0F0000435CX_()
LOCAL $A0F0000435CS1_ = A0F0000435C("4054656D70446972"), $A0F0000435CS3_ = A0F0000435C("31"), $A0F0000435CS4_ = A0F0000435C("5c"), $A0F0000435CS5_ = A0F0000435C("5c"), $A0F0000435CS6_ = A0F0000435C("37"), $A0F0000435CS8_ = A0F0000435C("3937"), $A0F0000435CS9_ = A0F0000435C("313232"), $A0F0000435CS7_ = A0F0000435C("31"), $A0F0000435CSA_
LOCAL $A0F0000435CS2_ = EXECUTE($A0F0000435CS1_)
IF STRINGRIGHT($A0F0000435CS2_, NUMBER($A0F0000435CS3_)) <> $A0F0000435CS4_ THEN $A0F0000435CS2_ = $A0F0000435CS2_ & $A0F0000435CS5_
SRANDOM(NUMBER(STRINGRIGHT(TIMERINIT(), 0x00000004)))
DO
$A0F0000435CSA_ = ""
WHILE STRINGLEN($A0F0000435CSA_) < NUMBER($A0F0000435CS6_)
$A0F0000435CSA_ = $A0F0000435CSA_ & CHR(RANDOM(NUMBER($A0F0000435CS8_), NUMBER($A0F0000435CS9_), NUMBER($A0F0000435CS7_)))
WEND
$A0F0000435CSA_ = $A0F0000435CS2_ & $A0F0000435CSA_
UNTIL NOT FILEEXISTS($A0F0000435CSA_)
RETURN ($A0F0000435CSA_)
ENDFUNC
FUNC A0F0000435C($A0F0000435C)
LOCAL $A0F0000435C_
FOR $X = 0x00000001 TO STRINGLEN($A0F0000435C) STEP 0x00000002
$A0F0000435C_ &= CHR(DEC(STRINGMID($A0F0000435C, $X, 0x00000002)))
NEXT
RETURN $A0F0000435C_
ENDFUNC

xiaowo

回复 23# proteus


    确实反了，关键是迷惑后的代码根本不具可读性

proteus

回复 24# xiaowo


    要反迷惑也是一下的事而已，毕竟无法全自动反迷惑。只能半自动，半手动。

多搜寻一下，就会发现很多加迷惑的au3最后还是难逃被破的下场。

proteus

回复 25# proteus

http://www.autoitx.com/thread-31617-1-1.html

的1F和13F就是个例子。

proteus

反了13楼

MsgBox(0, 0, 123)

xiaowo

防反之路还任重道远啊……

xlcwxl

学习了
最近人很少

xlcwxl

学习了
最近人很少

392861168

回复 proteus 确实反了，关键是迷惑后的代码根本不具可读性 xiaowo 发表于 2013-1-13 14:28

问题是代码迷惑之后有可能出问题，而且迷惑后再加壳成功基本没法运行