关于如何判断是否是铁甲加的壳 (1千字)
铁甲都给你们分析玩了，我都没的玩了，只有搞点小玩艺写了
如何判断是否是铁甲加的壳，铁甲自己判断是否的加壳标记如下
00401E8>
. 68 6295400>PUSH DUMPED_?00409562
; |pCreationTime = DUMPED_?00409562
00401E8> . FF35
179E4>PUSH DWORD PTR DS:[409E17]
; |hFile = 00000034
00401E8> . E8 603B000>CALL <JMP.&KERNEL32.GetFileTime>
; \GetFileTime
00401E9> . FF35 179E4>PUSH DWORD
PTR DS:[409E17] ; /hObject
= 00000034
00401E9> . E8 2B3B000>CALL <JMP.&KERNEL32.CloseHandle>
; \CloseHandle
00401E9> . A1 239E400>MOV EAX,DWORD
PTR DS:[409E23]
00401EA> . 0340 3C ADD EAX,DWORD PTR DS:[EAX+3C]
00401EA> . A3 279E400>MOV DWORD PTR DS:[409E27],EAX
00401EA> . A1 279E400>MOV
EAX,DWORD PTR DS:[409E27]
00401EA> . 66:8138 50>CMP WORD PTR DS:[EAX],4550
00401EB> . 0F85 E6010>JNZ DUMPED_?004020A0]
00401EB> . A1 279E400>MOV
EAX,DWORD PTR DS:[409E27]
00401EB> . 83E8 04 SUB EAX,4
00401EC> . 8138 18591>CMP DWORD PTR DS:[EAX],78185918－－－－－》这里就是了，比较0ffset 0xc4处是否为78185918了，如果是的话就已经加壳了
00401EC> . 0F84 02020>JE DUMPED_?004020D0A
00401EC> . C700 18591>MOV
DWORD PTR DS:[EAX],78185918---->不是的话就赋值为是
00401ED> . A1 279E400>MOV EAX,DWORD
PTR DS:[409E27]
00401ED> . 05 F800000>ADD EAX,0F8
由此可见offset 0xc4为78185918就是铁甲的加壳标记,你可以用hex编辑器改动这个标记位，那么又可以用铁甲再加一次壳哦，嘿嘿
pll621
