PE文件头修改的一些问题？如题 谢谢了

过咔吧，给你点我的经验。 1.单单加免杀花指令已经不能过卡巴,一定要配合加免花后在加压缩壳,才能起到免杀卡巴的效果. vmprotect加密----再加花-----可过卡巴: 2.加双层花指令免杀法----免卡巴 3.加密---007内存免----加压 ---免卡巴或内存. 4.双层加密(maskpE)---加压 ----可过卡巴. 5.maskpe加密---asppack加壳 ---改入口点加1---可过卡巴 6.加密maskpe----加花或加区加花(用工具)-----加压缩壳---免卡巴 7.北斗对黑防鸽子可加压二次,再压其它压缩壳.以达免杀. 8.加过北斗壳,上向拉滚开鼠标50多次,有一段空代码,可以加花,转移. 9.对付卡巴,加免杀花指令.花指令对瑞星表面查杀一般无效,一般加压缩壳. 10.对付瑞星表面: 有些黑软,加区,加花后被瑞星表面杀,可以这样:先加压过瑞星表面,然后加免杀花指令,过卡巴.

首先你修改头标志 MZ 标志 应该就不能正常加载了，那如果想加载就要把MZ写回去啊。

“但是这个改后的原文件不能被修改” 这句话是什么意思？ 就是说不把MZ写回去？

那你就看看能不能把它加载到内存，然后从内存运行。

仅仅移动文件头位置有时并不能免杀，因为有的杀软在锁定pe文件头中的特征码时，是根据头地址的偏移来扫描的，也就是说不管你把pe文件头放到哪，只要能被杀软定位到文件头，它还是可以识别特征码的，所以建议还是手动编辑pe文件头，替换原来特征码部分。一般这个情况是因为你特征码定位错误造成的，多尝试定位几次，比如实用MULLTICCL定位，或者定位的时候直接抛弃PE头的那部分，从代码段开始定位等。你处于的是PE头上或者是DOS MZ header，因为PE装载器在装载PE文件的时候，它是首先DOS MZ header的偏移量然后定位到PE头上，然后通过读PE头的一些信息，来确定PE文件的一些节表位置等，所以DOS MZ header和PE头本身是不加载到内存的，所以通过OC转换的时候就会出错。

---