病毒反编译

1. 可以反编译木马apk吗

您好
如果木马APK源代码没有加密

是可以通过反编译软件进行反编译的

如果您反编译的目的是为了修改木马继续传播，请不要传播病毒、盗号木马程序，恶意传播病毒和木马会污染互联网环境，请您加入到维护网络安全的大军中！

QQ木马程序会导致您和他人的帐号和密码泄露，从而可能使您和他人的QQ财产，如游戏、QB等受到严重威胁，严重的还会违反法律。
请您不要轻易安装陌生人传送给您的未知文件，有可能是病毒或者木马。
建议您安装腾讯电脑管家对您的电脑进行实时防护，保护您的电脑安全运行，避免给您的财产和个人隐私带来威胁。
腾讯电脑管家企业平台：http://..com/c/guanjia/

2. 如何防止代码被反编译

针对代码反编译，推荐使用CBS赛博锁，通过把安全容器内嵌到操作系统中，对容器内的应用和数据进行加锁，程序和数据在容器内运行，实现最后一米数据安全，防止核心数据被泄露，防止服务器终端中病毒，防止反编译，反破解。

3. 今天电脑中病毒了，提供病毒文件谁能反编译一下

这表现和autorun病毒一个样哈，起码类似，形式。

4. 如何反编译木马程序

木马程序是一种程序，它能提供一些有用的，或是仅仅令人感兴趣的功能。但是它还有用户所不知道的其他功能，例如在你不了解的情况下拷贝文件或窃取你的密码。

RFC1244(Request for Comments:1244)中是这样描述木马的：“木马程序是一种程序，它能提供一些有用的，或是仅仅令人感兴趣的功能。但是它还有用户所不知道的其他功能，例如在你不了解的情况下拷贝文件或窃取你的密码。”随着互联网的迅速发展，木马的攻击、危害性越来越大。木马实质上是一个程序，必须运行后才能工作，所以会在进程表、注册表中留下蛛丝马迹，我们可以通过“查、堵、杀”将它“缉拿归案”。

查

1.检查系统进程

大部分木马运行后会显示在进程管理器中，所以对系统进程列表进行分析和过滤，可以发现可疑程序。特别是利用与正常进程的CPU资源占用率和句柄数的比较，发现异常现象。

2.检查注册表、ini文件和服务

木马为了能够在开机后自动运行，往往在注册表如下选项中添加注册表项：

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnceEx

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServicesOnce

木马亦可在Win.ini和System.ini的“run=”、“load=”、“shell=”后面加载，如果在这些选项后面加载程序是你不认识的，就有可能是木马。木马最惯用的伎俩就是把“Explorer”变成自己的程序名，只需稍稍改“Explorer”的字母“l”改为数字“1”，或者把其中的“o”改为数字“0”，这些改变如果不仔细观察是很难被发现。

在Windwos NT/2000中，木马会将自己作为服务添加到系统中，甚至随机替换系统没有启动的服务程序来实现自动加载，检测时要对操作系统的常规服务有所了解。

3.检查开放端口

远程控制型木马以及输出Shell型的木马，大都会在系统中监听某个端口，接收从控制端发来的命令，并执行。通过检查系统上开启的一些“奇怪”的端口，从而发现木马的踪迹。在命令行中输入Netstat na，可以清楚地看到系统打开的端口和连接。也可从www.foundstone.com下载Fport软件，运行该软件后，可以知道打开端口的进程名，进程号和程序的路径，这样为查找“木马”提供了方便之门。

4.监视网络通讯

对于一些利用ICMP数据通讯的木马，被控端没有打开任何监听端口，无需反向连接，不会建立连接，采用第三种方法检查开放端口的方法就行不通。可以关闭所有网络行为的进程，然后打开Sniffer软件进行监听，如此时仍有大量的数据，则基本可以确定后台正运行着木马。

堵

1.堵住控制通路

如果你的网络连接处于禁用状态后或取消拨号连接，反复启动、打开窗口等不正常现象消失，那么可以判断你的电脑中了木马。通过禁用网络连接或拔掉网线，就可以完全避免远端计算机通过网络对你的控制。当然，亦可以通过防火墙关闭或过滤UDP、TCP、ICMP端口。

2.杀掉可疑进程

如通过Pslist查看可疑进程，用Pskill杀掉可疑进程后，如果计算机正常，说明这个可疑进程通过网络被远端控制，从而使计算机不正常。

杀

1.手工删除

对于一些可疑文件，不能立即删除，有可能由于误删系统文件而使计算机不能正常工作。首先备份可疑文件和注册表，接着用Ultraedit32编辑器查看文件首部信息，通过可疑文件里面的明文字符对木马有一个大致了解。当然高手们还可以通过W32Dasm等专用反编译软件对可疑文件进行静态分析，查看文件的导入函数列表和数据段部分，初步了解程序的主要功能。最后，删除木马文件及注册表中的键值。

2.软件杀毒

由于木马编写技术的不断进步，很多木马有了自我保护机制。普通用户最好通过专业的杀毒软件如瑞星、金山毒霸等软件进行杀毒，对于杀毒软件，一定要及时更新，并通过病毒公告及时了解新木马的预防和查杀绝技，或者通过下载专用的杀毒软件进行杀毒(如近期的冲击波病毒各大公司都开发了查杀工具)。

5. 为什大多数免杀，都将病毒文件反编译成汇编代码而不是高级语言代码 是不是为了统一。。

wxw072理解的没错～
已经编译好的可执行程序都是以二进制码组成的
汇编这种低级语言和二进制码是一一对应的关系
所以反编译的时候，只要读取硬盘或内存中的程序编码
既可以很简单的反编译为汇编语言。
这样方便实现而且错误率极低
而高级语言其实是一种给人看的语言，而不是给机器看的～～
机器只能看懂机器码，汇编其实只不过是机器码的另一种形势，但高级语言则完全是另一种东西。

把可执行文件直接反编译为高级语言的软件并不多，而且反编译出来的高级语言往往也只能做个参考，不能完全依赖
（java貌似可以，但这是因为java程序是在JVM上运行的，不依赖操作系统，也不直接操作机器。所以用java编写并生成的程序本身也不是机器码的。而只是一种中间代码，这样就很容易反编译回java语言状态）

何况病毒一类的东西的程序大多是加壳加花的～
这样几乎就没啥可能直接反编译成高级语言了～
只能在汇编语言下进行调试和修改
因为加壳加花是为了迷惑人的，而不是为了迷惑机器的（废话，如果连机器都迷惑了，那这个程序就执行不了了……）
所以反汇编就是从机器的角度去读这个程序。以求最大的成功率

而反编译为高级语言，属于逆向工程的范畴，很深的一门学科
是需要通过反编译的汇编代码，人为的恢复成高级语言代码，挺难的～～

6. 那些高手们是如何看到病毒的源文件的

看是啥情况,专业公司的通过别人的举报和设置蜜罐机来捕获病毒文件
分析文件,vbs这类的直接就可以看代码了
exe这类二进制的通常用ida
pro这里静态反编译的工具看汇编代码和资源

7. ~~~~(>_<)~~~~ 可不可以也发我一份儿万分感谢啊！找了好多反编译，都是病毒。好郁闷！

这个东西在网上搜寻不到吗？？我以前的找不到了。。。

8. 怎么样反编译病毒代码

反编译，反编译还不就是用apktool反编译啊

9. 不是说程序都是反编译的吗那病毒等程序的源代码别人是如何知道的

反编译只是让其他人不容易获得源代码而已，理论上只要能执行的程序都可以通过机器码变为汇编代码，大家可以研究其代码。
由于病毒程序一般较小，代码被反编译后更容易阅读。
如果把windowsXP反编译，阅读的工作量将是一个天文数字！