00401020: movsx edi,si ；病毒入口
  00401023: movsx edx,bp
  00401026: jmp 00408a99
  ......
  00407400: ；病毒体入口
  加密的病毒主体
  00408a94: ；解密指针初始值
  ......
  00408a99: mov dl,f7
  00408a9b: movsx edx,bx
  00408a9e: mov ecx,cf4b9b4f
  00408aa3: call 00408ac4
  ......
  00408ac4: pop ebx
  00408ac5: jmp 00408ade
  ......
  00408ade: mov cx,di
  00408ae1: add ebx,9fdbd22d
  00408ae7: jmp 00408b08
  ......
  00408b08: add ecx,80c1fbc1
  00408b0e: mov ebp,7fcdeff3 ；循环解密记数器初值
  00408b13: sub cl,39
  00408b16: movsx esi,si
  00408b19: add dword ptr[ebx+60242dbf],9ef42073 ；解密语句，9ef42073是密钥
  00408b23: mov edx,6fd1d4cf
  00408b28: mov di,dx
  00408b2b: inc ebp
  00408b2c: xor dl,a3
  00408b2f: mov cx,si
  00408b32: sub ebx,00000004 ；移动解密偏移指针，逆向解密 
  00408b38: mov ecx,86425df9
  00408b3d: cmp ebp,7fcdf599 ；判断解密结束与否
  00408b43: jnz 00408b16
  00408b49: jmp 00408b62
  ......
  00408b62: mov di,bp
  00408b65: jmp 00407400 ；将控制权交给解密后的病毒体入口
  著名多形病毒Hps的变形解密子：

  005365b8: ；解密指针初始值和病毒体入口
  加密的病毒主体 
  ......
  005379cd: call 005379e2
  ......
  005379e2: pop ebx
  005379e3: sub ebx,0000141a ；设置解密指针初值
  005379e9: ret
  ......
  005379f0: dec edx ；减少循环记数值
  005379f1: ret
  ......
  00537a00: xor dword ptr[ebx],10e7ed59 ；解密语句，10e7ed59是密钥
  00537a06: ret
  ......
  00537a1a: sub ebx,ffffffff 
  00537a20: sub ebx,fffffffd ；移动解密指针，正向解密
  00537a26: ret
  ......
  00537a30: mov edx,74d9cb97 ；设置循环记数初值
  00537a35: ret
  ......
  00537a3f: call 005379cd ；病毒入口
  00537a44: call 00537a30
  00537a49: call 00537a00
  00537a4e: call 00537a1a
  00537a53: call 005379f0
  00537a58: mov esi,edx
  00537a5a: cmp esi,74d9c696 ；判断解密结束与否
  00537a60: jnz 00537a49
  00537a66: jmp 005365b8 ；将控制权交给解密后的病毒体入口

for (i=0;i<0x100;i++) //首先虚拟执行256条指令试图发现病毒循环解密子
  {
  if (InstLoc>=0x280) 
  return(0);
  if (InstLoc+ProgSeekOff>=ProgEndOff) 
  return(0); //以上两条判断语句检查指令位置的合法性
  saveinstloc(); //存储当前指令在指令缓冲区中的偏移
  HasAddNewInst=0;
  if (!(j=parse())) //虚拟执行指令缓冲区中的一条指令
  return(0); //遇到不认识的指令时退出循环
  if (j==2) //返回值为2说明发现了解密循环 
  break;
  }
  if (i==0x100) //执行过256条指令后仍未发现循环则退出
  return(0);
  PreParse=0; 
  ProcessInst();
  if (!EncodeInst()) //调用解密函数重复执行循环解密过程
  return(0);
  jmp中判定循环出现部分代码： 

  if ((loc>=0)&&(loc<InstLoc)) //若转移后指令指针小于当前指令指针则可能出现循环
  if (!isinstloc(loc)) //在保存的指令指针数组InstLocArray中查找转移后指
  ...... //令指针值，如发现则可判定循环出现
  else
  {
  ...... 
  return(2); //返回值2代表发现了解密循环
  }

W32ExecuteInst中指令分遣部分代码：
  if ((c&0xf0)==0x50)
  {if (ExecutePushPop1(c)) //模拟push和pop
  return(gotonext());
  return(0);
  }
  if (c==0x9c)
  {if (ExecutePushf()) //模拟pushf
  return(gotonext());
  return(0);
  }
  if (c==(char)0x9d)
  {if (ExecutePopf()) //模拟popf
  return(gotonext());
  return(0);
  }
  if ((c==0xf)&&((c2&0xbe)==0xbe))
  {if (i=ExecuteMovszx(0)) //模拟movszx
  return(gotonext());
  return(0);
  }

static int ExecutePushPop1(int c)
  {
  if (c<=0x57)
  {if (StackP<0) //入栈前检查堆栈缓冲指针的合法性
  return(0);
  }
  else
  if (StackP>=0x40) //出栈前检查堆栈缓冲指针的合法性
  return(0);
  if (c<=0x57) {
  StackP--;
  ENESP-=4; //如果是入栈指令则在入栈前减少堆栈指针
  }
  switch (c)
  {case 0x50:STACK[StackP]=ENEAX; //模拟push eax
  break;
  ......
  case 0x5f:ENEDI=STACK[StackP]; //模拟push edi
  break;
  }
  if (c>=0x58) {
  StackP++;
  ENESP+=4; //如果是出栈指令则在出栈后增加堆栈指针 
  }
  return(1);
  }

void CW32Asm:: cmpw(int c1,int c2)
  {
  char FlgReg;
  __asm {
  mov eax,c1 //取得第一个操作数
  mov ecx,c2 //取得第二个操作数
  cmp eax,ecx //比较
  lahf //将比较后的标志结果装入ah
  mov FlgReg,ah //保存结果在局部变量FlgReg中
  }
  FlagReg=FlgReg; //保存结果在全局变量FlagReg中
  }
  CW32Asm类中jnz指令的模拟：

  int CW32Asm::JNE()
  {int i;
  char FlgReg=FlagReg; //用保存的FlagReg初始化局部变量FlgReg
  __asm
  {
  mov ah,FlgReg //设置ah为保存的模拟标志寄存器值
  pushf //保存虚拟机自身当前标志寄存器
  sahf //将模拟标志寄存器值装入真实标志寄存器中
  mov eax,1
  jne l //执行jnz
  popf //恢复虚拟机自身标志寄存器
  xor eax,eax
  l:
  popf //恢复虚拟机自身标志寄存器 
  mov i,eax
  }
  return(i); //返回值为1代表需要跳转
  }