# 动态调试加密函数
# 找到开始与结束地址dump
# 修复iat表
有问题联系作者
建议你关注下，毕竟全网技术栈最全公众号，总有涉及到你的领域。
# 样本信息
ruky勒索病毒
md5：484a2bcb1335ac97ee91194f4c0964bc
# 分析
查看PE信息存在附加节数据
查看节.text高熵值，极大概率存在加密
查看导入表貌似没什么异常
由于我们已知为勒索样本，所以尝试搜索Crypt开头相关的加密函数，没有找到相关API。推测该API需要后续执行解密动态载入
原文始发于微信公众号（安全狗的自我修养）：IDA实战利用syclla修复IAT后使API高亮显示(逆向分析实战6)
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论