【原创】如何彻底解决易语言误报！！

631768417 · 发表于 2012-1-1 17:16:15

本帖最后由 631768417 于 2012-1-1 17:18 编辑

误报！误报？
  首先我们要知道什么是误报前提就是我们的程序绝对不是风险程序没有后门的一些动作等等。。。  相信大家都知道自己程序到底是不是恶意程序到底有没有后门吧

好了既然我们的程序没有任何恶意代码但是360还是报毒这就有问题了。  今天我从黑客技术的角度来剖析360为什么对编译的软件不报毒而对静态编译的软件报毒。  好我们整2个空白程序！！！什么代码也不写什么组件也不加只有一个窗口我们用静态编译和编译把他整成2个文件。

1、编译文件 -------- --- 暂且命名为-- - -- - -》 1.exe
2、静态编译文件----------暂且命名为----------》 2.exe
查一下毒 2.exe是杀的而1.exe是不杀的好，  我们进入汇编  看看这2个文件到底有什么不同会让杀软出现如此误差。

以下为OD中 1.exe的程序入口截图：

CALL 1.0040100B
PUSH EAX
CALL<JMP.&KERNEL32.ExitProcess>
PUSH EBP （0040100B 在这）

复制代码

以上是代码部分 call 0040100b 意思也就是调用地址为 0040100b的子程序

然后我们可以发现 0040100b处的代码是 push ebp 也就是程序真正的入口点
我们可以修改入口点为 0040100b 程序完美无错。可以判定call 指令的作用就是调用我们的程序了

成功运行

好了。我们伪装一下入口就行了嘛。把静态编译的程序伪装成编译程序一切就OK了。
随便找一段0代码区域如图然后我们写上代码调用我们的程序。如图

00463A56 CALL 00045151
00463A5B RETN

复制代码

00045151 为2.exe(静态编译) 程序的入口点我们调用他然后retn必须加上因为程序需要返回。。 retn 就是子程序返回。
好了我们保存！！修改我们新的入口点 00463A56

好了360杀毒！

放上空白程序修改前的杀毒结果

可以自己试验试验很有效如果谁能写出来修改程序入口点加入汇编代码的易语言程序那就可以永远防止360报毒了！！

好了不懂的可以加我QQ 631768417 也欢迎大家提出自己的想法！！

总结：用 call 指令作为入口指令伪装成 “编译” 程序

电人超万 · 发表于 2012-1-1 19:38:45

楼主最好弄出模块。我顶你哦{:3_244:}沙发

低调的『WO』 · 发表于 2012-1-1 19:40:31

楼主最好弄出模块。我顶你哦沙发

soulan · 发表于 2012-1-1 19:44:57

{:3_228:}{:3_228:} 待测试看看效果~~

娃哈哈 · 发表于 2012-1-1 21:30:57

是不是真有有用呢、

yao84 · 发表于 2012-1-2 15:27:20

不错的思路！！！{:3_232:}

太阳公公 · 发表于 2012-1-4 13:40:59

关注中。。。。。。。。。。。。。。。。。。。。。

易夏天 · 发表于 2012-1-4 15:19:22

沙发被搬到8楼了

E宝贝 · 发表于 2012-1-20 18:13:30

很不错.但是还是很麻烦

batmanpy · 发表于 2012-2-2 23:45:09

留个脚印等等模块，这样不用啊

		自动登录	找回密码
密码			注册

[闲聊] 【原创】如何彻底解决易语言误报！！