首页
社区
课程
招聘
[求助]我学校机房的一个病毒
发表于: 2012-12-5 13:09 7798

[求助]我学校机房的一个病毒

2012-12-5 13:09
7798
autorun.inf 文件不知道用什么方式加密了,求autorun.inf 的加密方法,木马是一个文件名为jwgkvsq.vmx的pe文件,用ACprotect壳加密了

[课程]Android-CTF解题方法汇总!

上传的附件:
  • 1.rar (177.81kb,127次下载)
收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 2362
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
http://baike.baidu.com/view/3216518.htm
2012-12-5 13:35
0
雪    币: 859
活跃值: (304)
能力值: ( LV11,RANK:180 )
在线值:
发帖
回帖
粉丝
3
貌似很流行啊。。我的U盘也被感染过。。就是这样的
2012-12-5 13:35
0
雪    币: 62
活跃值: (22)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
很好,其实我想知道的是autorun.inf的原理和实现方法
2012-12-5 16:25
0
雪    币: 92
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
你用C32Asm十六进制模式看。基本每个符号后面都有00截断符,这个好像是Unicode~这个实现应该不难呗
2012-12-12 12:38
0
雪    币: 1753
活跃值: (840)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
6
其实很简单的,微软的这个什么ini,inf都是严格的格式,稍一不慎根本读取不到,在公司抽空给你搞了一下
int _tmain(int argc, _TCHAR* argv[])
{
        const int bufSize = 2048;
        char buf[bufSize]={0};
        char path[MAX_PATH]={0};
        GetFullPathNameA(".\\autorun.inf",MAX_PATH,path,NULL);

        if(!::GetPrivateProfileStringA("autorun",NULL,NULL,buf,sizeof buf,path))
        {
                cout<<"read file fail !"<<endl;
                return 0;
        }

        fstream fileHand;
        fileHand.open(".\\xianxing.inf",fstream::in|fstream::out|fstream::app);
        char* tmp;
        char rebuf[bufSize]={0};
        char result[1024]={0};

        ::GetPrivateProfileStringA("autorun",buf,"NULL",rebuf,bufSize,path);
        wsprintfA(result,"%s = %s\n",buf,rebuf);
        fileHand.write(result,strlen(result));

        for (int i=0;i<sizeof(buf) ;i++)
        {
                if (buf[i]==0 && buf[i+1]==0)
                {
                        break;
                }
                if (buf[i]==0)
                {
                        tmp = &buf[i+1];
                        ::GetPrivateProfileStringA("autorun",tmp,"NULL",rebuf,bufSize,path);
                        wsprintfA(result,"%s = %s\n",buf,rebuf);
                        cout<<result<<endl;
                        fileHand.write(result,strlen(result));
                }
        }
        fileHand.close();
        return 0;
}
上传的附件:
2012-12-12 13:53
0
雪    币: 1753
活跃值: (840)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
7
AcTION = Open folder to view files
AcTION = %syStEmrOot%\sySTEM32\sHELL32.Dll         ,4
AcTION = RuNdLl32.EXE      .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
AcTION = 1

这厮就是解析过后的文件
2012-12-12 13:54
0
雪    币: 62
活跃值: (22)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
后来又看看了那个inf文件才发现就是正常的inf文件多加了些垃圾干扰了。。。。。谢谢啦
2012-12-12 17:53
0
雪    币: 62
活跃值: (22)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
真的不难,只是刚开始没看清。。。。。。。。
2012-12-12 17:54
0
雪    币: 145
活跃值: (85)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
10
竟然编程来读取太出乎意料了
2012-12-15 01:24
0
游客
登录 | 注册 方可回帖
返回
//