shellcode免杀混淆正逆向分析
💡
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
本文介绍了通过将shellcode转换为UUID格式以绕过杀毒软件的查杀，并在加载时进行解码。强调了小端序和大端序的区别，并提供了相关的C++代码示例。
🎯
关键要点
- 本文介绍了通过将shellcode转换为UUID格式以绕过杀毒软件的查杀。
- shellcode是由CS 4.8生成，明文的shellcode容易被查杀。
- 采用UUID的方式对shellcode进行混淆处理，在加载时需要解码。
- UUID的格式为（8-4-4-4-8），前面的部分采用小端序，后面的部分采用大端序。
- 提供了C++代码示例，展示如何将shellcode转换为UUID。
- IsProcessRunning函数用于判断客户端环境，防止动态查杀。
❓
延伸问答
如何通过UUID格式绕过杀毒软件对shellcode的查杀？
通过将shellcode转换为UUID格式，并在加载时进行解码，可以有效绕过杀毒软件的查杀。
shellcode的UUID格式是怎样的？
UUID的格式为（8-4-4-4-8），前面的部分采用小端序，后面的部分采用大端序。
在生成UUID时需要注意哪些事项？
在转换shellcode为UUID时，需要注意小端序和大端序的处理。
C++代码中如何实现shellcode到UUID的转换？
可以使用memcpy函数将shellcode分配成UUID字符串，并使用UuidToStringA函数打印UUID。
IsProcessRunning函数的作用是什么？
IsProcessRunning函数用于判断客户端环境，以防止动态查杀，如云沙箱等。
为什么明文的shellcode容易被查杀？
明文的shellcode容易被查杀是因为其静态特征码容易被杀毒软件匹配。
➡️
