IAM302 - Phần 4: Python và hợp ngữ x86

Hai ngôn ngữ người phân tích phải nắm được là hợp ngữ x86, dạng đọc được của mã máy trong tệp nhị phân, và Python, ngôn ngữ để tự động hoá các việc lặp lại như tính giá trị băm hay đọc tiêu đề PE của hàng loạt mẫu thay cho thao tác tay. Với hợp ngữ, cần hiểu thanh ghi EAX giữ giá trị trả về, ESP trỏ đỉnh ngăn xếp, EIP trỏ lệnh kế tiếp; hiểu PUSH và CALL đặt tham số rồi địa chỉ quay về lên ngăn xếp, và XOR một thanh ghi với chính nó là cách đặt nó về 0. Khi thấy hàm Windows CreateRemoteThread trong bảng nhập của tệp PE rồi lần ra chỗ gọi nó trong mã, người phân tích biết mẫu định tiêm mã vào tiến trình khác. Kỹ năng đọc lệnh này là nền cho trình gỡ lỗi ở Phần 6.