01 Gezinme
| G | Adrese / isme git |
| Enter / Esc | Takip et / geri |
| Ctrl↵ | İleri |
| CtrlP | Fonksiyona atla |
| X | Buraya kim referans veriyor |
| Space | Metin ↔ grafik |
| F5 | Sözde kod |
02 Düzenle & işaretle
| N | Yeniden adlandır |
| ; / : | Yorum / tekrarlı |
| C / D / A | Kod / veri / string yap |
| U | Tanımsız yap |
| P | Fonksiyon oluştur |
| H / O | Hex↔onluk / offset |
| F2 | Hex düzenleme modu |
03 Yama baytları
| İstek | Yöntem | Bayt |
|---|
| Dalı ters çevir | jz↔jnz | 74↔75 |
| Hiç atlama | NOP yap | 90 |
| Her zaman atla | jcc→jmp | →EB |
| Dön (return) | ret yaz | C3 |
| 1 döndür | mov eax,1;ret | B8 01 00 00 00 C3 |
| 0 döndür | xor eax,eax;ret | 31 C0 C3 |
04 Assembly'de akış
if (x == 0)
test eax, eax
jnz else ; 0 değilse atla
while / for
top: ; gövde...
cmp ecx, edx
jl top ; geri-kenar = döngü
switch
jmp [rax*8 + tablo]
05 Çağrı kuralları
| ABI | Argümanlar |
|---|
| x64 (Windows) | rcx, rdx, r8, r9, sonra yığın |
| x64 (System V) | rdi, rsi, rdx, rcx, r8, r9 |
| x86 cdecl/stdcall | tümü yığında (sağ→sol) |
| x86 fastcall | ecx, edx, sonra yığın |
| Dönüş değeri | rax / eax |
x64 çağıranlar 32 bayt gölge alan bırakır.
06 Bilinmesi gereken opcode'lar
C3 / C2 | ret / ret n |
E8 / E9 | call / jmp rel32 |
EB | kısa jmp |
74/75 | je/jne |
90 | nop |
55 8B EC | x86 prologue (push ebp;mov ebp,esp) |
CC | int3 (kesme noktası / dolgu) |
07 Triyaj işaretleri
| İşaret | Anlamı |
|---|
| Entropi > 7.5 (kod) | paketli / şifreli |
UPX0/.vmp/.themida | paketleyici bölüm adı |
< 12 import + GetProcAddress | çalışma anında çözülen API |
| imphash eşleşmesi | aynı aile / araç |
| W+X bölüm | kendini değiştiren kod |
| dijital imza yok | yayıncı doğrulanmamış |
08 API → yetenek
VirtualAllocEx + WriteProcessMemory + CreateRemoteThread | process injection |
SetWindowsHookEx / GetAsyncKeyState | tuş kaydı |
IsDebuggerPresent / NtQueryInformationProcess | hata ayıklama karşıtı |
InternetOpen / URLDownloadToFile / socket | ağ / C2 |
RegSetValue / CreateService | kalıcılık |
CryptEncrypt + dosya gezme | olası fidye yazılımı |
Yalnızca yetkili analiz, eğitim ve araştırma içindir. Sadece sahibi olduğun ya da incelemeye
izinli olduğun yazılımı yamala/aç.
tlk