文章总结： 文档分析Floxif木马对抗静态分析的技术。该样本利用特定函数混淆控制流，通过栈操作将Call伪装为Jmp，阻碍反编译。作者通过汇编与调试分析还原逻辑，发现其本质是跳转至返回地址加2处。最终建议将此类Call替换为Jmp指令，以绕过对抗机制并还原真实代码。 综合评分： 91 文章分类： 恶意软件,逆向分析

---

一种对抗静态分析的方式

原创

小和安全

小和安全

2026年1月8日 11:47 江苏

前言

样本信息：

| | | | — | — | | SHA256 | de055a89de246e629a8694bde18af2b1605e4b9b493c7e4aef669dd67acf5085 | | SHA1 | 14ba3fa927a06224dfe587014299e834def4644f | | MD5 | 7574cf2c64f35161ab1292e2f532aabf |

看一个Floxif样本，发现用了一些对抗静态分析的方式，点开一个函数看看：

再点进sub_10001678函数看看：

看出来了吗，sub_10001684这个函数最终就做了一个清理栈帧的操作。

但是我们通过交叉引用看一下这个函数出现了多少次：

这么一个简单逻辑的函数居然被调用了73次，很显然，并没有这么简单，木马的开发者是采用了一些手段让这个函数看起来没有威胁性。

分析

这个木马的脱壳、通信等等就不在这里分析了，就是一个很简单upx加壳，直接工具脱壳就行：

我们直接用IDA打开看一下刚刚的地方，这次不看伪代码，直接看汇编：

点进sub_10001678继续看：

直接把它们拼接起来看看呢，也就是把sub_10001684里面的这一步：

call    sub_10001678

替换为：

push  1000168Bjmp  10001678

那我们就得到了：

push    eaxpushapush    1000168Bjmp     10001678retn    4

现在从调用10001684函数开始分析。

假设我们执行call 10001684时，下一条指令地址为x，比如：

x-5      call  10001684x        下一条指令是什么不重要，知道地址为x就行

此时就相当于：

x-5      push  x         jmp  10001684x        下一条指令是什么不重要，知道地址为x就行

这时候当我们执行jmp 10001684时栈里面已经有一个x了，也就是：

| | | | — | — | | x | 栈底+栈顶esp |

然后我们jmp 10001684，继续执行指令：

push    eaxpushapush    1000168Bjmp     10001678retn    4

当我们即将执行jmp 10001678时，栈里面的内容如下（假设此时eax的值为y）：

| | | | — | — | | x | | | y | | | all | | | 1000168B | 栈顶esp |

接下来jmp到10001678，我们直接跟过去看：

一步一步来，执行push eax后栈内容：

| | | | — | — | | x | | | y | | | all | | | 1000168B | | | eax | 栈顶esp |

执行mov eax,[esp+4]就是取esp+4位置指向的值，赋值给eax，此时eax寄存器值就变成了1000168B，然后add eax,4表示eax值加4，变为1000168F，再执行push eax后栈内容：

| | | | — | — | | x | | | eax | | | all | | | 1000168B | | | eax | | | 1000168F | 栈顶esp |

接下来retn 8表示栈顶地址出栈，跳转到这个地址也就是1000168F，然后清理8字节的内容，栈内容变为：

| | | | — | — | | x | | | eax | | | all | 栈顶esp |

并跳转到1000168F，在IDA里面看这个地址发现被识别错了：

1000168E后面就是10001690，没有我们要的1000168F.

我们需要手动重置这一块区域，让它变成原始数据，快捷键U即可：

然后选中1000168F，快捷键P重新识别为函数：

回到刚才我们的栈内容是：

| | | | — | — | | x | | | y | | | all | 栈顶esp |

现在jmp到了1000168F，执行popa后栈内容：

| | | | — | — | | x | | | y | 栈顶esp |

还剩下这些指令：

两个参数的值也有：

看上去很复杂，其实简单来说就是：

（1）sub     esp, 0FFFFFFF8h表示esp的值减-8，也就是加8，此时栈：

| | | | — | — | | | 栈顶esp | | x | | | y | |

（2）mov     eax, [esp-28h+arg_20]表示将esp-4的地址保存的值赋值给eax，很绕，其实就是栈里面的x，此时eax=x

（3）add     eax, 2就是将eax加2，此时eax=x+2

（4）mov     [esp-28h+arg_20], eax又把eax的值写回esp-4的地址，此时栈的内容：

| | | | — | — | | | 栈顶esp | | x+2 | | | y | |

（5）mov     eax, [esp-28h+arg_1C]表示取出esp-8地址保存的值，很显然就是y，那此时eax=y

（6）sub     esp, 4表示esp-4，栈顶地址减4，栈的内容变为：

| | | | — | — | | x+2 | 栈顶esp | | y | |

栈顶在x+2这里，那y其实就是没有用的数据了，最后，栈的内容就是：

| | | | — | — | | x+2 | 栈顶esp |

（7）retn表示将栈顶地址出栈，然后跳转到这个地址，这个时候栈清空了，然后跳转到x+2这个地址。

这下清楚了，我们调用10001684函数时，表面上执行的是：

x-5      call  10001684x        下一条指令是什么不重要，知道地址为x就行

但是我们执行前后，栈的内容没变，还跳转到了x+2地址，那call 10001684等效替换不就是jmp x+2吗？

验证

动态调试一下就可以验证我们的分析了：

首先在IDA找到一个调用了10001710函数的地方：

首先根据我们的分析，call sub_10001684会跳转到下一条地址加2的位置也就是10001715加2，也就是10001717。我们验证一下：

找到一个10001710函数，、然后打开dbg，在10001710和10001684下断点：

F7单步进入10001684，一直单步执行：

F7进入10001678，再一直单步执行：

一直执行到ret会根据我们的分析跳转到1000168F：

确实如此，根据我们的分析，ret后应该会跳转到10001717，我们单步执行到ret，看看是不是真的跳转到这里：

确实跳转到10001717：

总结

我们只需要将所有的call 10001684改为jmp $+7就可以绕过这个对抗机制了。

比如：

原先的10001710函数：

反编译后根本看不见真实的函数逻辑：

我们将它改为 jmp $+7再反编译：

成功还原真实的函数逻辑！

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小和安全 小和安全《一种对抗静态分析的方式》