VehApiResolve

VehApiResolve 灵感源自 Dridex Loader 的 32 位 API 混淆。 这是如何工作的？ 我们设置一个异常处理程序。 root@kitploit: AddVectoredExceptionHandler CALLFIRST, ApiResolverHandler ; 该异常处理程序只会处理作为 EXCEPTIONBREAKPOINT 抛出的异常。当它由我们抛出时，我们能够捕获 CONTEXT。我们可以获取传递的参数。 RDX 和 R8 将保存我们的函数和模块哈希。然后我们可以使用 GetProcAddrExH 动态解析它们，如下所示 root@kitploit:...