CallObfuscator

CallObfuscator 混淆（隐藏）PE导入，使其不被静态/动态分析工具检测到。 原理 这相当直接，假设我使用了VirtualProtect，并想用Sleep来混淆它，该工具会操纵IAT，使得指向VirtualProtect的thunk转而指向Sleep，这样在文件执行时，Windows加载程序会加载Sleep而不是VirtualProtect，并将执行权转移到入口点，从那里执行将被重定向到工具之前放置的shellcode，以找到VirtualProtect的地址，并用它替换之前由加载程序分配的Sleep的地址。 使用方法...