Shell Code на English

Тема в разделе "WASM.ZEN", создана пользователем ant0xa, 4 дек 2009.

  1. ant0xa

    ant0xa New Member

    Публикаций:
    0
    Регистрация:
    4 июн 2009
    Сообщения:
    29
    Прочитал на хабре о интересной идее прообразования Shell кода в читабельный вид т.е. после преобразования шелкод выглядит как обычный английский текст. У Криса статья вроде была на эту тему - вот её логическое продолжение. Для вирусов техника не годится т.к. преобразование очень трудоёмкий процесс (по статье около 12 часок на генерацию декодера), но для маовари и сплоитпаков сойдёт вполне. Кто что думает по этому поводу ?

    Вот источник статьи:
    http://www.cs.jhu.edu/~sam/ccs243-mason.pdf
     
  2. ant0xa

    ant0xa New Member

    Публикаций:
    0
    Регистрация:
    4 июн 2009
    Сообщения:
    29
    залью на сайт на всякий случай
     
  3. MSoft

    MSoft New Member

    Публикаций:
    0
    Регистрация:
    16 дек 2006
    Сообщения:
    2.854
    Этот "английский обычный текст" часом не мнемоника ассемблера? :)
     
  4. ant0xa

    ant0xa New Member

    Публикаций:
    0
    Регистрация:
    4 июн 2009
    Сообщения:
    29
    да нет. вот список печатных опкодов. В теории можно писать нормальный код.

    ASCII HEX ASSEMBLY
    " ca" (20 63 61) and ebx,ah
    " An" (20 41 6E) and ecx,al
    " jo" (20 6A 6F) and edx,ch

    ASCII HEX ASSEMBLY
    p. (70 2E) jo short 30h
    q. (71 2E) jno short 30h
    r. (72 2E) jb short 30h
    s. (73 2E) jnb short 30h
    t. (74 2E) je short 30h
    u. (75 2E) jnz short 30h
    v. (76 2E) jbe short 30h
    w. (77 2E) ja short 30h
    x. (78 2E) js short 30h
    y. (79 2E) jns short 30h
    z. (7A 2E) jpe short 30h

    ASCII HEX ASSEMBLY
    A (41) inc eax
    B (42) inc edx
    C (43) inc ebx
    D (44) inc esp
    E (45) inc ebp
    F (46) inc esi
    G (47) inc edi
    H (48) dec eax
    I (49) dec ecx
    J (4A) dec edx
    K (4B) dec ebx
    L (4C) dec esp
    M (4D) dec ebp
    N (4E) dec esi
    O (4F) dec edi
    P (50) push eax
    Q (51) push ecx
    R (52) push edx
    S (53) push edx
    T (54) push ebx
    U (55) push esp
    V (56) push ebp
    W (57) push esi
    X (58) push edi
    Y (59) pop eax
    Z (5A) pop ecx
    ` (60) pusha
    a (61) popa
     
  5. Folk Acid

    Folk Acid New Member

    Публикаций:
    0
    Регистрация:
    23 авг 2005
    Сообщения:
    432
    Адрес:
    Ukraine
    Мля, старо как мир. Называется EICAR