call base
base:
pop ax
sub ax,base
在病毒代码头部加上这几行代码,运行后,ax即为尾插法偏移量
分析:
- base 是在编译时期计算的偏移量
pop ax 是在运行时才得到的IP
所以,二者相减就可得到偏移量
我们发现,call base 的机器码保存的是偏移量,
而sub ax,base 中的机器码则是保存的编译时期计算出的base的实际地址
call base
base:
pop ax
sub ax,base
在病毒代码头部加上这几行代码,运行后,ax即为尾插法偏移量
分析:
pop ax 是在运行时才得到的IP
所以,二者相减就可得到偏移量
我们发现,call base 的机器码保存的是偏移量,
而sub ax,base 中的机器码则是保存的编译时期计算出的base的实际地址