能力值:
( LV4,RANK:50 )
|
-
-
2 楼
求个软件样本
|
能力值:
( LV2,RANK:10 )
|
-
-
3 楼
以前碰到过,经fly神提示,输入库名字有点问题。
|
能力值:
( LV2,RANK:10 )
|
-
-
4 楼
“用LordPE打开其输入表,Kill掉一个KERNEL32.DLL”
是这么处理吗 ?这样岂不是没法定位这个dll文件了,尝试也没成功
上传样本,希望不会违规
|
能力值:
( LV2,RANK:10 )
|
-
-
5 楼
今天认真看了一下 应该还是自校验的问题 修复IAT后还要认真单步一下代码
|
能力值:
( LV2,RANK:10 )
|
-
-
6 楼
用upx3.8.0.0 直接upx -d NetPiao.exe,你测试下
|
能力值:
( LV2,RANK:10 )
|
-
-
7 楼
我这里测试结果相同,需要修复一下iat
|
能力值:
( LV4,RANK:50 )
|
-
-
8 楼
巧了,我也在看这个NetPiao.exe,带着壳看了一下,程序会用CreateProcess创建一个挂起状态的子进程,然后用ZwUnmapViewOfSection卸载这个空间的数据,再用
VirtualAllocEx重新分配空间,然后WriteProcessMemory写入代码,最后用ResumeThread让子进程恢复运行,貌似叫做傀儡进程吧。
脱出来的文件在ResumeThread的时候会出错,还得修复某些地方。
楼主方便的话PM个联系方式,咱们一起研究。
|
能力值:
( LV2,RANK:10 )
|
-
-
9 楼
昨天脱壳调试了一下,想办法绕过了一些校验,想把傀儡进程dump出来,可惜没成功...
补充一下:dump错了,现在可以了
|
能力值:
( LV2,RANK:10 )
|
-
-
10 楼
上传今天最新版(2328)的程序dump,可以试试debug
|
能力值:
( LV3,RANK:20 )
|
-
-
11 楼
这个问题在网友的提示下我解决了,我先看看你们的版本,然后再说解决方法。
|
能力值:
( LV3,RANK:20 )
|
-
-
12 楼
用LoadPe,部分转存新的进程,可以解决这个问题
方法:
当跟踪到ResumeThread让子进程恢复运行时,停在调用处,这个程序中是:
0040275A FF15 3C104100 call dword ptr ds:[0x41103C] ; kernel32.ResumeThread
这一行。
这时堆栈中有进程的信息:
0012E818 000000A8
0012E81C 000000A8 \hThread = 000000A8 (window)
0012E820 00000001
0012E824 009F0000
0012E828 00419120 netpiao.00419120
0012E82C 00400000 netpiao.00400000
0012E830 00000004
0012E834 009F0000
0012E838 0012EC00
0012E83C 000000A0
0012E840 000000A8
0012E844 00000208 ;这是新进程的ID,不懂的去看下进程结构体的资料,
0012E848 000003E4
LoadPE脱壳进程208
选择部分转存,地址当然是00400000,大小003E9000。
修复下区段,对齐下块,OK.
刚才测试成功了。
当然也可以区域转存。
其他的你懂的,哈哈。
|
能力值:
( LV3,RANK:20 )
|
-
-
13 楼
看来你跟得跟我一样辛苦,希望就在绝望中,这个壳就跟到kernel32.ResumeThread死,也是从kernel32.ResumeThread生。
|
能力值:
( LV2,RANK:10 )
|
-
-
14 楼
我研究的没有你们深入,带壳跑到ResumeThread代码都是乱的,所以脱了壳dump,所以要绕过一些校验,过程有点傻...
|
能力值:
( LV2,RANK:10 )
|
-
-
15 楼
[QUOTE=reddiamond;1340036]用LoadPe,部分转存新的进程,可以解决这个问题
方法:
当跟踪到ResumeThread让子进程恢复运行时,停在调用处,这个程序中是:
0040275A FF15 3C104100 call dword ptr ds:[0x41103C] ; kernel32....[/QUOTE]
最新的2328版本,dump size变成3F0000啦!
|
能力值:
( LV3,RANK:20 )
|
-
-
16 楼
是的,你就是那边的楼主吧
|
能力值:
( LV2,RANK:10 )
|
-
-
17 楼
请问带壳跑的话怎么确定dump size=3e9000的?
|
能力值:
( LV3,RANK:20 )
|
-
-
18 楼
一个是在VirtualAllocEx中在,另一处是WriteProcessMemory,还有是就通过LordPE的区域转存可以确认
|
|
|