Malware Analyse 4 --- stack trace

Sample:

同前文一样，修改了LoadLibrary后的返回地址，在技术上使用栈回溯，无需调用VirtualProtect

首先获取LoadLibrary的下一条指令的地址，然后通过栈回溯查找返回地址，如果匹配则修改为劫持函数的地址