此处调用 怀疑使用内联汇编

r1

OD动态调试,进到main函数会看到第一次输出

r2

往下有一个动态装载Dll链接库,加载Kernel.dll 然后……或者CreateProcessA 创建一个挂起的自身。

然后获取上下文。

r3

剩下好像交与了新进程,这块有点没看太[……]

瞧瞧更多?