首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [讨论]分析一木马生成器有问 0.00雪花
发表于: 2010-11-21 06:59 4783

[旧帖] [讨论]分析一木马生成器有问 0.00雪花

ccnyou 活跃值
2010-11-21 06:59
4783
在配置过程中，主程序直接用SetFilePointer跑到0x9500h处写配置信息（这里有待替换串），是个常量，可是，作者怎么知道待替换串的位置？而且又是整数？难道编译时可以指定串的位置？别告诉我巧合哦！

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (7)
骑驴找马
雪    币： 166
活跃值： (66)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
可以设置一个特殊字符串，配置器通过查找功能就可以实现了。
2010-11-21 08:18
0
ccnyou
雪    币： 81
活跃值： (55)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
3 楼
程序用的是常数，没有查找，不过的确，那里有个特殊串“####...”
2010-11-21 08:46
0
ccnyou
雪    币： 81
活跃值： (55)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
4 楼
或许它先编译服务端，然后取得常数，再写入
2010-11-21 17:29
0
nomaster
雪    币： 53
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
两种方法
都用一个数组做标记
方法1，常量法，先编译好服务端，用winhex打开，查找这个标记，只要代码别变的太多，这个标记基本不会变了，当然，debug和release也许不一样，配置器里直接写这个地址吧
方法2，动态查找法，把服务端读到内存里，暴力搜索这个标记吧
2010-11-22 08:11
0
flyingayi
雪    币： 478
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
每次都这么郁闷，为啥看不懂呢。郁闷。。。。
2010-11-22 09:13
0
guxinyi
雪    币： 585
活跃值： (573)
能力值： ( LV13，RANK：290 )
在线值：
发帖
回帖
粉丝
私信
7 楼
哈哈 ，，，，，，，
可以先编译出来，找到指定位置，然后把那个位置写到程序中，再编译就可以了。
2010-12-1 00:19
0
付崇碧
雪    币： 49
活跃值： (29)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
跟踪调试一下，看能不能明白其中机理。
2010-12-2 12:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//