一直对输入数据进行跟踪 发现整体的混淆架构 main是一个 类似于一种switch的vm 这个题有一个特征 就是如果这题里面一个函数真正有用的话，他会使用很多switch来掩饰 而如果没有往往是简单运作一下就跳过了 所以顺着这个线索去追踪 刚好是最实用的 比如在这个函数里 前面几个函数并
Linux内核版本: 2.6.11.12 编写代码: 创建进程 创建进程使用fork系统调用，官方文档对于fork的描述: fork() creates a new process by duplicating the calling process. The new process is referred to as the child process. The calling process is referred to as the p
寻找so中符号的地址 总述 通过程序头获得符号地址 通过节头获得符号地址 模仿安卓通过hash寻找符号 总结 寻找so中符号的地址 总述 我们在使用so中的函数的时候可以使用dlopen和dlsym配合来寻找该函数的起始地址，但是在安卓高版本中android不允许打开白名单之外的so，这就让我们
目录ELF文件格式第三讲，节头（section header)一丶节头1.1 概念简介1.2 节头和节1.3 节头 结构1.4特殊节区 ELF文件格式第三讲，节头（section header) 一丶节头 1.1 概念简介 段（segment) 和 节（section)是有区别的。 节不是段。 段是程序执行的必要组成部分。 在每个段中会有代码或者
目录Elf文件格式 ELF32or64前言一丶ELF 程序头1.2 详解elf头（32or64)1.2.1 简介1.2.2 数据表示表格1.2.3 Elf Hearder表示 Elf文件格式 ELF32or64 前言 本文参考链接： https://segmentfault.com/a/1190000007103522?utm_source=tuicool&utm_medium=referral 非原创。 在学习ELF的过
可重定位文件结构分析1. 文件头使用命令readelf –h vmlinux查看elf文件头：[mszsdtcf49][~/ws/arm_elf_linux/relocate_elf_reader]$ readelf -h vmlinux.oELF Header: Magic: 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 Class: ELF64 Dat
segments(runtime) & sections(link time) A segment points to an absolute address in the memory, and specify how many bytes are contained in that segment. The section works in a similar way, and if and the memory segment and section pointing to can have
ELF文件包含文件头（ELF Header）、程序头表（Program Head Table）、节（Sections）或段（Segments）、节头表（Section Header Table）四个部分。ELF文件提供了两种视图，分别是链接视图和执行视图。其中，节是链接视图的基本单位，在文件进行链接操作时使用；段是执行视图的基本单位，在文件运行时使用。一个
盘古开天辟地。我们写了个程序，想要给终端输出一些内容，不可避免地我们需要使用系统库，在我们写程序的过程中我们经常会碰到需要使用库的过程，无论是系统库还是第三方库，我们统称为lib库。 而库的链接分为两种，分别有静态库和动态库。 1. 静态库 静态库可以看作一堆的目标文件的集合，可能
