原文:https://www.pediy.com/kssd/pediy12/135162.html
今天看到一个样本中一段shellcode的解码头,从样本中拿出来后用IDA反汇编得到如下结果:
seg000:00000000 nop
seg000:00000001 nop
seg000:00000002 nop
seg000:00000003 nop
seg000:00000004 fldz
seg000:00000006 fnstenv byte ptr [esp-0Ch]
seg000:0000000A pop esi
seg000:0000000B add esi, 20h ; ' '
seg000:0000000E push esi
seg000:0000000F pop edi
seg000:00000010 xor ecx, ecx
seg000:00000012 mov cx, 2FFh
seg000:00000016
seg000:00000016 loc_16: ; CODE XREF: seg000:00000022
seg000:00000016 lodsw
seg000:00000018 sub ax, 6161h
seg000:0000001C shl al, 4
seg000:0000001F add al, ah
seg000:00000021 stosb
seg000:00000022 loop loc_16
seg000:00000022 seg000 ends
【后面是编码的shellcode】
看到里面fldz和fnstenv指令感到很疑惑,怀疑这段代码不能执行。于是放到OD中调试,由于esi被初始化指向了非法地址,导致运行产生异常。
这个样本先把包括解码头的整个shellcode复制到内存,然后用createthread把shellocde带起来。但是直接打开样本发现shellcode被解码并成功执行,最终释放一个exe并运行。
我的问题是fldz和fnstenv在线程中是如何对esi产生影响并完成解码工作,请各位指点。谢谢!
我认真看了下。。。。
FLDZ:将0.0装入st(0): st(0) <- 0.0
FSTENV/FNSTENV :(DST:14字节存贮器操作数)
(DST)(控制寄存器)
(DST+2)(状态寄存器)
(DST+4)(标记寄存器)
(DST+6)(指令指示器)
(DST+10)(操作数指示器)
所有错误屏蔽位置1
感觉FLDZ 和FNSTENV 执行算是垃圾指令,并不影响解码的过程
http://web.nuist.edu.cn/courses/wjyljyy/07336.htm