https://t1mmoc.github.io/tags/nsis/ Recent content in NSIS on Timmoc 的技术小屋 Hugo zh-cn Fri, 16 Oct 2026 14:54:48 +0800 https://t1mmoc.github.io/posts/2026-10-16-nsis-silent-unpack/ Fri, 16 Oct 2026 14:50:02 +0800 https://t1mmoc.github.io/posts/2026-10-16-nsis-silent-unpack/ 一个伪装成正常软件的 NSIS 系静默安装包，用 `RtlDecompressBuffer` + LZNT1 把载荷藏在包尾。六周里先走了一整段错误的偏移追踪，最后靠断 CreateFileW/SetFilePointer 从文件末尾倒推出 0x91E，再用「跳末尾八字节、吃三个 DWORD、吃三个 Str」的倒找法把结构读通；收尾时才发现倒找会少解一个文件，改用正倒结合才对齐。