碰壁之旅：一个伪装成反间谍软件的样本，和那段跳进指令中间的 shellcode
新样本 优先使用静态分析，那就先获取足够的信息再说吧。 用户名没有特别信息，反间谍软件吗，这个取名有点意思。 检查字符串，发现大量数据库相关代码 不太正常，很像一个普通软件，可能是被中木马了。 使用的数据库类型是SQLite 找到官网，看看源文件。 在看源文件之前发现一件神奇的事情： 数字签名正常，签名时间，啊？昨晚？ 这么新鲜的样本吗，而且数字签名正常也离谱。 获取的样本版本低了官网两个迭代版本。 ok，没事了。 ...