其实过qvm也简单

显示全部楼层 · 发表于 2011-12-24 11:59:08

他对壳的启发就是查区段和入口
并不能脱vmp se
你直接把vm过的程序抹去pe头放在资源里，从内存启动
但是这个方法的确可以
因为被加资源的程序入口区段是正常的

api直接调用就可以了

显示全部楼层 · 发表于 2011-12-24 12:01:01

有人说360的启发是基于卡巴的启发的，这个我想求证一下。

显示全部楼层 · 发表于 2011-12-24 12:01:48

不懂。坐等高人

显示全部楼层 · 发表于 2011-12-24 12:02:05

求示例程序

显示全部楼层 · 发表于 2011-12-24 12:06:05

矮油真聪明半年前就讨论烂的招

显示全部楼层 · 发表于 2011-12-24 12:08:52

本帖最后由 liangfangCN 于 2011-12-24 12:10 编辑

jefffire 发表于 2011-12-24 12:06
矮油真聪明半年前就讨论烂的招

这个的确是烂招,是08年的时候讨论出来过卡巴的办法

显示全部楼层 · 发表于 2011-12-24 12:13:13

liangfangCN 发表于 2011-12-24 12:08
这个的确是烂招,是08年的时候讨论出来过卡巴的办法

难道真是我二楼所说。？？

显示全部楼层 · 发表于 2011-12-24 12:18:11

求示例样本+1

显示全部楼层 · 发表于 2011-12-24 12:18:35

liangfangCN 发表于 2011-12-24 12:08
这个的确是烂招,是08年的时候讨论出来过卡巴的办法

过卡巴还要这种方法？你说笑吧

显示全部楼层 · 发表于 2011-12-24 12:23:27

360的是技术还是不错的，

[讨论] 其实过qvm也简单