https://t1mmoc.github.io/tags/x64dbg/ Recent content in X64dbg on Timmoc 的技术小屋 Hugo zh-cn Fri, 16 Oct 2026 19:10:00 +0800 https://t1mmoc.github.io/posts/2026-10-16-shellcode-inject-hunt/ Fri, 16 Oct 2026 19:10:00 +0800 https://t1mmoc.github.io/posts/2026-10-16-shellcode-inject-hunt/ 一个签名有效、版本只差 2、字符串全是 SQLite 的 SUPERAntiSpyware，和正版差了 0.0.2 个版本。静态 diff 排到全是业务逻辑，动态跑它自己退、网络 0 条。最后是靠自己写的一个判据捞回来的：枚举所有指令头，凡是跳转目标不落在指令边界上的，就是有人往指令流中间插了代码。 https://t1mmoc.github.io/posts/2026-10-16-resource-aes-shellcode/ Fri, 16 Oct 2026 17:25:00 +0800 https://t1mmoc.github.io/posts/2026-10-16-resource-aes-shellcode/ 一个 x64 样本把加密的 PowerShell 下载器塞进 PE 资源（ID 84，长度 0x6AB）。资源原地解密后是一段脚本：从 ph4nt0m.fr 取 c.aes，用 AES-256-CBC、Padding=None 解出 103,936 字节——不是 PE，是 32 位 shellcode。能确定密文和明文等长、且长度正好块对齐，由此反推填充方式。没解出来的是密钥从哪来。 https://t1mmoc.github.io/posts/2026-10-16-delphi-installer-dat/ Fri, 16 Oct 2026 16:55:00 +0800 https://t1mmoc.github.io/posts/2026-10-16-delphi-installer-dat/ 一个 Delphi 写的恶意安装包（GUI 标题 快捷[2.7]，落地目录拼错了 Global），把载荷以「长度前缀串 + tag 分派流」的形式追加在自己尾部。在 IDA 里翻不到任何解压代码，因为压缩就是裸 zlib——干活的是 Zlib::TDecompressionStream，而那个看着像数据的 off_45C558 其实是 Classes::TStream::GetSize 的虚表槽。