花指令

JNE-------不等于时转移(Jump if Not Equal)
JZ--------等于转移(Jump if Zero)
JNZ-------不等于时转移(Jump if Not Zero)
JB--------小于转移(Jump if Below)
JNB-------大于或等于转移(Jump if Not Below)
nop -------可任意在中间添加
与它等效的:
mov EDI,EDI
add esp,1 -------其中数字可以任意,注意以下面对应
add esp,-1
add esp,1 -------其中数字可以任意,注意以下面对应
sub esp,1
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
跳转
somewhere:
nop /"胡乱"跳转的开始...
jmp 下一个jmp的地址 /在附近随意跳
jmp ... /...
POPAD-----把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.
3.算术运算指令:
ADD-------加法.
SUB-------减法.
INC-------加 1
DEC-------减 1
MUL-------无符号乘法
DIV-------无符号除法
4.加区加花
首先通过加区段工具给无壳的服务端加一个区段。区段名子随便填写，比如hacker，大小一般填写在50-200 就好了。然后我们用LORDPE打开首先记下入口点。然后选择区段记下新添加的HACKER区段的入口点。因为我们要写花指令，所以我们在入口点设置为HACKER区段的比入口点稍微大点的地址。然后我们在写花指令。通常找不到零区域的时候就可以加区段。
花指令
用途：抵御静态反汇编。
原理：
数据与代码的区分、指令本身的不等长。
使用无用字节干扰反汇编器对指令起始位置的判断。
方法：
1.寄存器介绍:
(1).数据寄存器: 存放数据EAX、EBX、ECX、EDX
(2).指针寄存器: 主要用途就是在存储器寻址时，提供偏移地址.ESP、EBP、EDI、ESI
add eax,3
add eax,2
jmp 下一个jmp地址
jmp 下一个地址
push ebp
mov ebp,esp ------可做为花指令的开头句
jmp 入口地址 ------跳到程序入口地址
与它效果一样的还有(以下三个):
push 入口地址
retn
jb 入口地址
nop
pop edx
dec ecx
pop ebp
inc ecx
loop somewhere /跳转到上面那段代码地址去！
跳转花指令 加在c++的后面，多跳几次过卡巴是最容易的了，呵呵
算是一个小窍门吧
>>>>>>>>>>>>>>>ห้องสมุดไป่ตู้>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
1。 VC++ 5.0
PUSH EBP
MOV EBP,ESP
| POP EBP
| INC ECX
| MOV DWORD PTR FS:[0],EAX /
| POP EAX |
| POP EAX /
注:编写花指令,可参考以下成双指令,可任意自由组合.达到免杀效果.
push ebp
pop ebp
push eax
pop eax
push esp
pop esp
push 0
push 0
push 10 -------其中数字可以任意,注意与下面对应
push -10
4.逻辑运算指令
AND------与运算
OR-------或运算
XOR------异或运算
NOT------取反
5.无条件转移指令
JMP--------无条件转移指令
CALL-------过程调用
RET/RETF---过程返回
6.条件转移指令
JE--------等于转移(Jump if Equal)
ESP(堆栈指针寄存):以“后进先出”方式工作的一个存储区，它必须存在于堆栈段中.
EBP(基址指针寄存器):内存放一个指针，该指针指向系统栈最上面一个栈帧的底部。
ESI(源变址寄存器):内存操作指令中作为“源地址指针”使用。
EDI(目的变址寄存器):内存操作指令中作为“目的地址指针”使用。
实际物理地址（OD载入的入口点）= 内存地址（0000F000）+镜象基址（RVA）
5.壳中加花
用加壳工具（如ASPACK壳）给服务端先加一层壳，然后在加花指令。事先记好入口点
7.壳中加区加花
加壳---加区段---加花指令 综合了以上所有方法。
收集花指令一:
往回跳转0040639B 00 db 00
| loop xxxxxx
>>>>>>>>>>>>>>>>>>>>>>>>>>>.
2。C++的花指令
push ebp
mov ebp,esp
push -1
push 111111
push 222222
mov eax,fs:[0]
push eax
mov fs:[0],esp
inc ecx
dec ecx
sub eax, -2 --------其中数字可任意,与dec的个数对应
dec eax
dec eax
add eax -2 --------其中数字可任意,与inc的个数对应
inc eax
inc eax
sub eax,5 --------其中数字可以任意,注意以下面对应
| PUSH EBP 004063AA <-新入口点:
| MOV EBP,ESP
| INC ECX
| PUSH EDX
| NOP
| POP EDX
| DEC ECX
push -1
push 515448
push 6021A8
mov eax,dword ptr fs:[0]
push eax
mov dword ptr fs:[0],esp
add esp,-6c
push ebx
push esi
push edi
jmp 跳转到程序原来的入口点
加花方法：
1.直接加花
1)记住入口点
2)找零区域
3)NOP填充
4)记住新入口点
5)编写花指令跳转回原入口点
6)保存文件
7)lordPE修改新入口点
2.去头加花
1)配置一个无壳的服务端
2)用OD载入后记下从入口点地址
3)入口点地址往下选择几处然后复制再NOP掉
2.数据传输指令:
MOV-------传送字或字节
PUSH------把字压入堆栈
POP-------把字弹出堆栈
PUSHA-----把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈.
POPA------把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.
PUSHAD----把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈.
jnb 入口地址
mov eax,入口地址
jmp eax
手动编写例子
push ebp
mov ebp,esp
sub eax,-2
dec eax
dec eax
sub eax,5
add eax,3
add eax,2
add esp,0B
add esp,-0B
JNC-------无进位时转移(Jump if Not Carry)
JP--------奇偶性为偶数时转移(Jump if Parity)
JNP-------奇偶性为奇数时转移(Jump if Not Parity)
7.其它
nop-----在汇编中代表空指令，不执行任何代码.
Mov edi,edi-----效果与nop一样.
jb 原入口点
jnb 原入口点
花指令的变形技巧.
cmp a,b ;比较a与b
mov a,b ;把b的值送给a
ret 返回主程序
nop ;无作用
call 调用子程序
加花方法
加花的方法：
1.去头加花，又分为直接去头.头前加花.头后加花。
2.加区加花.