2012. 11. 5. 18:12, 유용한 지식 자료들/악성코드 기법
Private Const PROCESSOR_ARCHITECTURE_INTEL = 0 |
GetCurrentProcess -> IsWow64Process
return cmp 0
0 이면 64bit아님
or
GetNativeSystemInfo
위의 그램을 보면 파라메터로 들어가는 push eax값이 lpSystemInfo로 해당 주소값에 ProcessorArchitecture 결과값이 저장된다. 따라서 cmp ax, 9와 같이 해당 주소의 값을 찾아와서 비교를 하면 64bit 여부를 알아낼 수 있다.
return cmp 9, 6 이면 64bit
0 이면 32bit
'유용한 지식 자료들 > 악성코드 기법' 카테고리의 다른 글
후킹(자가보호) 해제 (0) | 2012.12.27 |
---|---|
악성코드 'PlugX Dropper'의 설치 방식 (0) | 2012.11.14 |
hosts파일 변조 악성코드의 배짱(?) (0) | 2012.08.22 |
User-mode Inline Patch를 위한 함수 주소 찾는 방법 (0) | 2012.08.20 |
ntdll.bsearch (2) | 2012.08.01 |
Comments, Trackbacks