修改shellcode异或加密的0day

nsiz

早在迅雷出来的时候,就第一次出现了这种技术,原来的代码就解不了,这次的0day又一次出现了,异或的值是21,现在终于决定自已写一版PHP的,推倒呀推倒…

有朋友问怎么才能找到异或的值是多少,网上有个教程的,可是太麻烦了,其实有一个简单的方法,就是把shellcode转成exe,http://www.cha88.cn/safe/shellcode_2_exe.php 转成exe以后,就用OD载入,就可以看到了,比如这次的

0040103C      8030 21       xor     byte ptr [eax], 21

程序还有一点小BUG,本着完全不责任的精神,我就不改了,细心一点不影响使用的

如果想修改网页木马里面的地址,把异或值保持一致,在本程序中加密一次,就可以代入新的0DAY里面使用了

程序地址为

http://www.cha88.cn/safe/new_shellcode.php

如果shellcode没有处理过,异或值填0就可以像上一版一样加解密了

本篇文章来源于 新世纪网安基地 (www.520hack.com) 原文出处：http://www.520hack.com/Article/Text2/200812/12511.html