能力值：
( LV7，RANK：102 )
|
-
-
2 楼
把它当成没壳的程序不就行了
|
能力值：
( LV3，RANK：30 )
|
-
-
3 楼
fjqisba
把它当成没壳的程序不就行了
感觉好多函数都被屏蔽了,分析过程有点困难.
|
能力值：
( LV3，RANK：30 )
|
-
-
4 楼
CreateThread 下个断点 再往下跟一会 就看到 有调用VirtualAlloc 然后 有几次 rep movsb 里面就是真正的病毒 dump出来分析就行 那个才是UPX的
|
能力值：
( LV3，RANK：30 )
|
-
-
5 楼
我尝试尝试，我还想问一句，这病毒是不是得在联网的情况下才可以完整的去调式？
|
能力值：
( LV4，RANK：50 )
|
-
-
6 楼
这个样本是个Sality，而且这类壳是常见的俄制PE Loader壳。如果控制好断点，你可以获取到最原始的PE镜像。 用OD载入样本以后，在VirtualAlloc下断，见到第一个分配RWX内存的地方，执行到返回，在Buffer上下一个写断点。F9执行以后你会断到一个 rep movsb的循环。这个时候查看ESI你可以得到一个含有PE文件的Buffer。Dump并且清理PE，你会得到一个PE文件，MD5是7C681B396FC1AA0973691D3D6B186853，这个文件是个UPX压缩过的PE。用UPX -d解压缩，你会得到最终的脱壳病毒。MD5是57CDE8DDD4261277272A6151855F8966
已经脱壳的文件我附加在回复里了。解压密码:infected
最后于 2018-11-13 10:13
被Morgion编辑
，原因：
|
能力值：
( LV3，RANK：30 )
|
-
-
7 楼
谢谢大大的思路，顺便问下大大，这病毒是不是得在联网的情况下才能完整的提取？
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
Morgion
这个样本是个Sality，而且这类壳是常见的俄制PE Loader壳。如果控制好断点，你可以获取到最原始的PE镜像。用OD载入样本以后，在VirtualAlloc下断，见到第一个分配RWX内存的地方， ...
跪了,给大佬磕头
|
能力值：
( LV3，RANK：30 )
|
-
-
9 楼
Morgion
这个样本是个Sality，而且这类壳是常见的俄制PE Loader壳。如果控制好断点，你可以获取到最原始的PE镜像。用OD载入样本以后，在VirtualAlloc下断，见到第一个分配RWX内存的地方， ...
本人对于这壳是萌新，大佬能不能给个图文教程或者视频的，感激不尽。
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
pghuanghui
谢谢大大的思路，顺便问下大大，这病毒是不是得在联网的情况下才能完整的提取？
给大佬磕头,真的强
|
能力值：
( LV4，RANK：50 )
|
-
-
11 楼
pghuanghui
谢谢大大的思路，顺便问下大大，这病毒是不是得在联网的情况下才能完整的提取？
不需要联网，直接跑的可以。
|
能力值：
( LV3，RANK：30 )
|
-
-
12 楼
Morgion
不需要联网，直接跑的可以。
就是大大，我想问问，我在rep movsb循环里面找不到PE文件头格式，我知道它里面有个循环jne和jmp。EIP中查看数据窗口就是找不到。
|
能力值：
( LV4，RANK：50 )
|
-
-
13 楼
pghuanghui
就是大大，我想问问，我在rep movsb循环里面找不到PE文件头格式，我知道它里面有个循环jne和jmp。EIP中查看数据窗口就是找不到。
如果你断到rep movsb的话，在数据窗口查看此时ESI指向的内存区域，你会发现PE的。
|
能力值：
( LV3，RANK：30 )
|
-
-
14 楼
Morgion
如果你断到rep movsb的话，在数据窗口查看此时ESI指向的内存区域，你会发现PE的。
知道啦，谢谢大大，我之前下的是写入断点，没在rep movsb断下。
|
能力值：
( LV3，RANK：30 )
|
-
-
15 楼
Morgion
这个样本是个Sality，而且这类壳是常见的俄制PE Loader壳。如果控制好断点，你可以获取到最原始的PE镜像。用OD载入样本以后，在VirtualAlloc下断，见到第一个分配RWX内存的地方， ...
大大，有空你能不能做个视频给我看看或者GIF都可以，感激不尽。
|
|
|
|
