[原创]Exeinfo PE在虚拟机中的运行问题-付费问答-看雪-安全社区|安全招聘|kanxue.com

[旧帖] [原创]Exeinfo PE在虚拟机中的运行问题 0.00雪花

发表于: 2012-6-4 17:05 3916

[旧帖] [原创]Exeinfo PE在虚拟机中的运行问题 0.00雪花

MistHill

2012-6-4 17:05

3916

05BCF7D0 > 60               PUSHAD
05BCF7D1   BE 00D0B005      MOV ESI,exeinfop.05B0D000
05BCF7D6   8DBE 00408FFA    LEA EDI,DWORD PTR DS:[ESI+FA8F4000]
05BCF7DC   57               PUSH EDI
05BCF7DD   89E5             MOV EBP,ESP
05BCF7DF   8D9C24 80C1FFFF  LEA EBX,DWORD PTR SS:[ESP-3E80]
05BCF7E6   31C0             XOR EAX,EAX
05BCF7E8   50               PUSH EAX
05BCF7E9   39DC             CMP ESP,EBX
05BCF7EB  ^75 FB            JNZ SHORT exeinfop.05BCF7E8

05BD034D   8D4424 80        LEA EAX,DWORD PTR SS:[ESP-80]
05BD0351   6A 00            PUSH 0
05BD0353   39C4             CMP ESP,EAX
05BD0355  ^75 FA            JNZ SHORT exeinfop.05BD0351
05BD0357   83EC 80          SUB ESP,-80
05BD035A  ^E9 A1ACFFFF      JMP exeinfop.05BCB000
05BD035F   0078 03          ADD BYTE PTR DS:[EAX+3],BH
05BD0362   BD 05AC03BD      MOV EBP,BD03AC05
05BD0367   05 B0075400      ADD EAX,exeinfop.005407B0
05BD036C   0000             ADD BYTE PTR DS:[EAX],AL
...

05BCB000   41               INC ECX
05BCB001   2E:53            PUSH EBX       ; Superfluous prefix
05BCB003   2E:4C            DEC ESP        ; Superfluous prefix
05BCB005   F8               CLC
05BCB006   43               INC EBX
05BCB007   72 79            JB SHORT exeinfop.05BCB082

05BCB07B   C10B 17          ROR DWORD PTR DS:[EBX],17
05BCB07E   83C3 04          ADD EBX,4
05BCB081  ^E2 F8            LOOPD SHORT exeinfop.05BCB07B
05BCB083   83F8 00          CMP EAX,0
05BCB086   74 2A            JE SHORT exeinfop.05BCB0B2
05BCB088   BB 00104000      MOV EBX,exeinfop.00401000
05BCB08D   B9 80F70400      MOV ECX,4F780
05BCB092   C103 17          ROL DWORD PTR DS:[EBX],17
05BCB095   83C3 04          ADD EBX,4
05BCB098  ^E2 F8            LOOPD SHORT exeinfop.05BCB092
05BCB09A   83F8 02          CMP EAX,2
05BCB09D   74 13            JE SHORT exeinfop.05BCB0B2
05BCB09F   58               POP EAX
05BCB0A0   5A               POP EDX
05BCB0A1   C3               RETN
...
05BCB0B2   90               NOP
05BCB0B3   90               NOP
05BCB0B4   90               NOP
05BCB0B5   90               NOP
05BCB0B6   B8 17FB5300      MOV EAX,exeinfop.0053FB17
05BCB0BB   5B               POP EBX
05BCB0BC   5B               POP EBX
05BCB0BD   50               PUSH EAX
05BCB0BE   31C0             XOR EAX,EAX
05BCB0C0   E9 02000000      JMP exeinfop.05BCB0C7
...
05BCB0C7   C3               RETN

0053FB17   71 00            JNO SHORT exeinfop.0053FB19
0053FB19   31C9             XOR ECX,ECX
0053FB1B   55               PUSH EBP
0053FB1C   76 00            JBE SHORT exeinfop.0053FB1E
0053FB1E   54               PUSH ESP
0053FB1F   72 00            JB SHORT exeinfop.0053FB21
0053FB21   5D               POP EBP
0053FB22   41               INC ECX
0053FB23  -E2 FE            LOOPD SHORT exeinfop.0053FB23
0053FB25   83C4 E0          ADD ESP,-20
0053FB28   67:E3 01         JCXZ SHORT exeinfop.0053FB2C
...
0053FB2C  ^EB A6            JMP SHORT exeinfop.0053FAD4
...

0053FAD4   D9D0             FNOP
0053FAD6   31C0             XOR EAX,EAX
0053FAD8   D9D0             FNOP
0053FADA   53               PUSH EBX
0053FADB   56               PUSH ESI
0053FADC   57               PUSH EDI
0053FADD   33C0             XOR EAX,EAX
0053FADF   8945 E4          MOV DWORD PTR SS:[EBP-1C],EAX
0053FAE2   8945 E0          MOV DWORD PTR SS:[EBP-20],EAX
0053FAE5   8945 EC          MOV DWORD PTR SS:[EBP-14],EAX
0053FAE8   8945 E8          MOV DWORD PTR SS:[EBP-18],EAX
0053FAEB   B8 44EA5300      MOV EAX,exeinfop.0053EA44
0053FAF0   E8 C77AECFF      CALL exeinfop.004075BC

004075BC   53               PUSH EBX
004075BD   8BD8             MOV EBX,EAX
004075BF   33C0             XOR EAX,EAX
004075C1   A3 B0075400      MOV DWORD PTR DS:[5407B0],EAX
004075C6   6A 00            PUSH 0
004075C8   E8 2BFFFFFF      CALL exeinfop.004074F8                   ; JMP to kernel32.GetModuleHandleA

004074F8  -FF25 04CAB505    JMP DWORD PTR DS:[5B5CA04]               ; kernel32.GetModuleHandleA
004074FE   8BC0             MOV EAX,EAX
00407500  -FF25 00CAB505    JMP DWORD PTR DS:[5B5CA00]               ; kernel32.LocalAlloc
00407506   8BC0             MOV EAX,EAX
00407508  -FF25 FCC9B505    JMP DWORD PTR DS:[5B5C9FC]               ; kernel32.TlsGetValue
0040750E   8BC0             MOV EAX,EAX
00407510  -FF25 F8C9B505    JMP DWORD PTR DS:[5B5C9F8]               ; kernel32.TlsSetValue

05B5C908  00000000
05B5C90C  00000000
05B5C910  00000000
05B5C914  770F4880  oleaut32.SysFreeString
05B5C918  770FA3EC  oleaut32.SysReAllocStringLen
05B5C91C  770F4B39  oleaut32.SysAllocStringLen
05B5C920  00000000
05B5C924  77DA7ABB  advapi32.RegQueryValueExA
05B5C928  77DA7852  advapi32.RegOpenKeyExA
...
05B5C9EC  7C801A28  kernel32.CreateFileA
05B5C9F0  7C809BE7  kernel32.CloseHandle
05B5C9F4  00000000
05B5C9F8  7C809C65  kernel32.TlsSetValue
05B5C9FC  7C8097E0  kernel32.TlsGetValue
05B5CA00  7C809A2D  kernel32.LocalAlloc
05B5CA04  7C80B741  kernel32.GetModuleHandleA
05B5CA08  00000000
05B5CA0C  77D2E4A9  user32.CreateWindowExA
05B5CA10  77D66783  user32.keybd_event
05B5CA14  77D29766  user32.WindowFromPoint
05B5CA18  77D1940C  user32.WaitMessage
...
05B5D074  00000000
05B5D078  7632309F  comdlg32.GetOpenFileNameA
05B5D07C  00000000
05B5D080  77D2CE12  user32.SetLayeredWindowAttributes
05B5D084  77D22156  user32.AnimateWindow
05B5D088  00000000
05B5D08C  7C92D7FE  ntdll.ZwQueryInformationProcess
05B5D090  7C92DCAE  ntdll.ZwSetInformationThread
05B5D094  00000000
05B5D098  00000000
05B5D09C  00000000
...

0053BAD4 > 55               PUSH EBP
0053BAD5   54               PUSH ESP
0053BAD6   5D               POP EBP
0053BAD7   83C4 E0          ADD ESP,-20
0053BADA   53               PUSH EBX
0053BADB   56               PUSH ESI
0053BADC   57               PUSH EDI
0053BADD   33C0             XOR EAX,EAX
0053BADF   8945 E4          MOV DWORD PTR SS:[EBP-1C],EAX
0053BAE2   8945 E0          MOV DWORD PTR SS:[EBP-20],EAX
0053BAE5   8945 EC          MOV DWORD PTR SS:[EBP-14],EAX
0053BAE8   8945 E8          MOV DWORD PTR SS:[EBP-18],EAX
0053BAEB   B8 8CA85300      MOV EAX,exeinfop.0053A88C
0053BAF0   E8 6FBAECFF      CALL exeinfop.00407564
...

0053FB4C   0F31                  RDTSC
0053FB4E   43                    INC EBX
0053FB4F   91                    XCHG EAX,ECX
0053FB50   4B                    DEC EBX
0053FB51   0F31                  RDTSC
0053FB53   29C8                  SUB EAX,ECX
0053FB55   3D 98030000           CMP EAX,398
0053FB5A   A3 6CB1B505           MOV DWORD PTR DS:[5B5B16C],EAX
0053FB5F   77 06                 JA SHORT exeinfop.0053FB67
0053FB61   87C9                  XCHG ECX,ECX
0053FB63   EB 09                 JMP SHORT exeinfop.0053FB6E
0053FB65   87C9                  XCHG ECX,ECX
0053FB67   C605 69B1B505 01      MOV BYTE PTR DS:[5B5B169],1
0053FB6E   91                    XCHG EAX,ECX
0053FB6F   803D 69B1B505 01      CMP BYTE PTR DS:[5B5B169],1
0053FB76   75 0A                 JNZ SHORT exeinfop.0053FB82
0053FB78   B8 01DE0000           MOV EAX,0DE01
0053FB7D   E8 C258ECFF           CALL exeinfop.00405444
0053FB82   833D 6CB1B505 05      CMP DWORD PTR DS:[5B5B16C],5
0053FB89   73 0A                 JNB SHORT exeinfop.0053FB95
0053FB8B   B8 05DE0000           MOV EAX,0DE05
0053FB90   E8 AF58ECFF           CALL exeinfop.00405444
0053FB95   33C0                  XOR EAX,EAX
0053FB97   55                    PUSH EBP
0053FB98   68 CCFB5300           PUSH exeinfop.0053FBCC
0053FB9D   64:FF30               PUSH DWORD PTR FS:[EAX]
0053FBA0   64:8920               MOV DWORD PTR FS:[EAX],ESP
0053FBA3   F8                    CLC
0053FBA4   87C9                  XCHG ECX,ECX

登录后可查看完整内容

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：

OD_Opt01.jpg （34.30kb，185次下载）
OD_Opt02.jpg （42.15kb，186次下载）
StrongOD_Opt.jpg （31.40kb，186次下载）
UIF01.jpg （55.85kb，270次下载）
UIF02.jpg （55.84kb，274次下载）
Dump.jpg （45.26kb，272次下载）
ImpREC01.jpg （47.39kb，267次下载）
ImpREC02.jpg （138.02kb，268次下载）
Virus_Prompt.jpg （5.52kb，263次下载）
Resource-Binder.jpg （27.18kb，266次下载）
Stud_Org_PEHDR.jpg （88.12kb，265次下载）
Stud_Dumped_PEHDR.jpg （88.44kb，263次下载）
exeinfope_dumped_.7z （571.20kb，27次下载）

收藏・3

免费・6

支持

最新回复 (2)
loongzyd 雪币： 1015 活跃值： (235) 能力值： ( LV12，RANK：440 ) 在线值：发帖 191 回帖 1111 粉丝 4 关注私信	loongzyd 10 2 楼记录了，谢谢楼主的分享。晚些时候注意查看悄悄话哈 2012-6-4 17:31 0
qwsk 雪币： 210 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 68 粉丝 0 关注私信	qwsk 3 楼谢谢楼主的分享拜读了！ 2012-8-17 13:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

MistHill

发帖

280

回帖

270

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (2)
loongzyd 雪币： 1015 活跃值： (235) 能力值： ( LV12，RANK：440 ) 在线值：发帖 191 回帖 1111 粉丝 4 关注私信	loongzyd 10 2 楼记录了，谢谢楼主的分享。晚些时候注意查看悄悄话哈 2012-6-4 17:31 0
qwsk 雪币： 210 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 68 粉丝 0 关注私信	qwsk 3 楼谢谢楼主的分享拜读了！ 2012-8-17 13:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复