以下是怎么获得Image base

shuyufeng

那不是ARM的汇编么?
是做什么的?

gudandemayi

  shit_size     equ    (offset delta-offset aztec)
.code

virus_start    label  byte

aztec:
      pushad                       ; Push 所有寄存器
      pushfd                       ; Push FLAG 寄存器

      call   delta                  ; 最难理解的代码 ;)
delta:  pop    ebp
      mov    eax,ebp
      sub    ebp,offset delta

      sub    eax,shit_size             ; Obtain the Image Base on
      sub    eax,00001000h             ; the fly
NewEIP  equ    $-4
      mov    dword ptr [ebp+ModBase],eax