阅读背景：

病毒木马查杀实战第005篇：熊猫烧香之逆向分析（上）

来源：互联网 
至此，sub_403C98分析完毕。这个函数有两个参数，由于采用的是Delphi编译器，因此在反汇编中，第一个参数保存在eax中，第二个参数保存在edx中。这个函数首先完成堆空间的申请，然后将edx中保存的字符串复制到新申请的空间中。这个函数在最初赋值的时候，eax的值均为0，而在执行后，eax中保存的就是新申请的堆空间中，所复制的字符串的首地址。为了易于观察，我把IDA Pro中的sub_403C98重命名为AllocStackAndCopyString，如下图所示： 至此，sub_403C98分析完毕。这个函数有两个参数，由于采用的是Delphi编译器，因此在反汇

你的当前访问异常,请进行认证后继续阅读剩余内容。

分享到：
你可能喜欢:
相关阅读:
随便看看: