帖子主题: 这处驱动文件特徵怎麽改呢 请求指点

卡巴特徵000003A2
还请各位大哥大姐指点迷津

我对汇编只是略懂一二, 对驱动免杀不是很了解……   有错误的地方还请指正，谢谢````

   第二张图里面的xor eax,eax是用来将eax清零的，只占2个指令，效率比mov eax,0高，后者占了5个指令，所以要直接改估计很困难了……  如果没有直接的跳转到此句的话，可以考虑在104F0的过程最后将eax清零，然后nop掉此句……
   第三张图是将eax的低位加1，改成inc al应该可以……  试试吧```

这3张图都是同一个驱动文件 我怕不清楚 所以都贴上来了
就只有这卡巴特徵而已000003A2

xor eax, eax 改为 sub eax, eax

还是被杀了

sub eax, eax因为仅修改了一个字节。 也就是将xor对应的机器码修改为sub对应的机器码。      如果被杀就将其偏移的机器码多修改下啊。。 看下上面的call如果没返回值的话，就将其和下面的xor语句调换下。。  

免杀和逆向一样，要学会多个工具搭配。 驱动文件如果想更好的分析，最好用IDA看。。

你可以JMP走,然后又JMP回来
不过要保证所有寄存器在JMP之前和之后的值相同

JMP通常会出事儿，而且对卡巴貌似特别不管用  我也不知道为什么 从前天晚上到昨天下午 一直在做卡巴免杀，奋战两天两夜 才过...郁闷 可能自己免杀功底不好~呵呵。
最后过卡巴的方法是，随便找了个捆绑机，捆绑一下之后，再定位...

天顺。你是我的偶像。
居然奋战两天两夜。。