Question

如果杀软把特征定位在PE头文件怎么改?

Answer 1

仅仅移动文件头位置有时并不能免杀，因为有的杀软在锁定pe文件头中的特征码时，是根据头地址的偏移来扫描的，也就是说不管你把pe文件头放到哪，只要能被杀软定位到文件头，它还是可以识别特征码的，所以建议还是手动编辑pe文件头，替换原来特征码部分。 一般这个情况是因为你特征码定位错误造成的，多尝试定位几次，比如实用MULLTICCL定位，或者定位的时候直接抛弃PE头的那部分，从代码段开始定位等。 你处于的是PE头上或者是DOS MZ header，因为PE装载器在装载PE文件的时候，它是首先DOS MZ header的偏移量然后定位到PE头上，然后通过读PE头的一些信息，来确定PE文件的一些节表位置等，所以DOS MZ header和PE头本身是不加载到内存的，所以通过OC转换的时候就会出错。