RC4

这篇的边界先划清 第五次课的作业，四条课程目标： 1、了解带脚本的安装包基本结构和执行流程特点。 2、获取内部资源解压算法并还原安装包内部的脚本。 3、寻找该类安装的特征识别算法。 4、通过代码实现包识别和解包流程。 对象是真实恶意样本（杀软报 BAT/Ransom.BleachGap 一类的勒索投放器）。所以这篇的取舍是明确的： 函数地址、密钥、算法、手法，全都不脱敏。 恶意软件没有软件版权，把 key 藏起来只会让这份分析和这份代码都无法复核，那才是真的没意义。 载荷内容一行不放。 解出来的脚本、它的标签名、具体命令行，一律不贴。 这篇也不放截图。 OD 和 IDA 的截图恰恰是脚本内容最容易一整屏漏出去的地方，而讲方法不需要那个。 样本本体在仓库里，是 tagent 签名、用我公钥加密的容器，只有我能解开，但任何人都能验证它是我交付的那一份。 ...