-
-
[求助]学脱EncryptPE壳遇到问题，求思路
-
发表于:
2010-7-31 11:21
4655
-
有一个PEid检测是“EncryptPE V2.2007.4.11 -> WFS [Overlay] *”的exe，运行后将Overlay释放到temp目录，释放出来是EPE文件（实际上是DLL），然后调用RegisterWindowMessage往Explorer的一个窗口注册一个消息，并调用SetWindowsHookEx设法接管该窗口的回调。接着SendMessage往那个窗口发送所注册的消息，这样Hook所注入的EPE文件就有机会执行相应代码，再次启动这个exe文件，最后那个最初启动的进程主动友好的退出。（说那么多，实际上就是它的一种自启动方法）
通过调试Explorer进程，发现它自启动进程的时候，也没有加任何参数，只是dwCreationFlags的值是2也就是DEBUG_ONLY_THIS_PROCESS（怪不得入口改CC或者附加进程都不行，因为Explorer已经是调试器了，结束Explorer就会同时结果这个进程）。
如果自己写一个程序CreateProcess创建它的时候dwCreationFlags参数是DEBUG_ONLY_THIS_PROCESS，那么该进程不会自启动加退出（PID对得上），但会处于“干耗着不干事”的状态，没有任何界面。但是用OD，删掉所有插件，让它知道被调试，并不传递任何异常，却依然会进入自启动加退出的结局。
这个还有什么好方法可以调试呢？
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
