首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. ¥付费问答
    3. 发新帖
[旧帖] [讨论]分析一木马生成器有问 0.00雪花
2010-11-21 06:59 4611

[旧帖] [讨论]分析一木马生成器有问 0.00雪花

ccnyou 活跃值
2010-11-21 06:59
4611
在配置过程中，主程序直接用SetFilePointer跑到0x9500h处写配置信息（这里有待替换串），是个常量，可是，作者怎么知道待替换串的位置？而且又是整数？难道编译时可以指定串的位置？别告诉我巧合哦！

阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！

收藏
点赞・0
打赏
分享
最新回复 (7)
骑驴找马
雪    币： 166
活跃值： (66)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
骑驴找马 2010-11-21 08:18
2 楼
0
可以设置一个特殊字符串，配置器通过查找功能就可以实现了。
ccnyou
雪    币： 81
活跃值： (55)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
ccnyou 2010-11-21 08:46
3 楼
0
程序用的是常数，没有查找，不过的确，那里有个特殊串“####...”
ccnyou
雪    币： 81
活跃值： (55)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
ccnyou 2010-11-21 17:29
4 楼
0
或许它先编译服务端，然后取得常数，再写入
nomaster
雪    币： 53
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
nomaster 2010-11-22 08:11
5 楼
0
两种方法
都用一个数组做标记
方法1，常量法，先编译好服务端，用winhex打开，查找这个标记，只要代码别变的太多，这个标记基本不会变了，当然，debug和release也许不一样，配置器里直接写这个地址吧
方法2，动态查找法，把服务端读到内存里，暴力搜索这个标记吧
flyingayi
雪    币： 478
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
flyingayi 2010-11-22 09:13
6 楼
0
每次都这么郁闷，为啥看不懂呢。郁闷。。。。
guxinyi
雪    币： 585
活跃值： (568)
能力值： ( LV13，RANK：290 )
在线值：
发帖
回帖
粉丝
私信
guxinyi 5 2010-12-1 00:19
7 楼
0
哈哈 ，，，，，，，
可以先编译出来，找到指定位置，然后把那个位置写到程序中，再编译就可以了。
付崇碧
雪    币： 49
活跃值： (29)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
付崇碧 2010-12-2 12:35
8 楼
0
跟踪调试一下，看能不能明白其中机理。
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回