對代碼變形的一點認識

.386
.model flat, stdcall
option casemap :none
include kernel32.inc
includelib kernel32.lib    
.CODE
START:
    call _NO1            ;跳過幹擾碼
    db 0e9h               ;幹擾碼
    jmp _END           ;跳出變形的代碼
_NO1:
    pop eax                ;把返回地址彈出到EAX
    inc eax                  ;返回地址加一，這樣就可以跳過E9幹擾碼了
    push eax              ;修改過的返回地址壓入堆棧
    retn                        ;這句看似是函數返回，其實在這裡他的作用就是把jmp _END的地址付給EIP
_END:
    invoke ExitProcess,0
end START

 

 用OD載入後是這樣滴

當然破解的方法也是有的，在OD裡把幹擾碼NOP掉就可以了，什麼怎麼找幹擾碼？當然是CALL的目的地址的前一個位元組啦。