-
-
[原创]某企鹅xxx-base分析
-
2021-12-25 13:45
-
系统回调部分
系统回调注册：
快乐周末开始了
这里样本会选择将系统回调拿到的信息先放到全局然后KeSetEvent通知其他地方处理
系统回调部分基本都是一些常规操作，所以这里就不赘述了。
驱动线程部分
快也搜这个创建线程
1.线程创建部分
用ark观察有3个线程的起始地址为SeSetAuditParameter函数内部的jmp rcx，
初始化线程地址：在SeSetAuditParameter内部搜0xff 0xe1
这里具体也可以参考大表哥的帖子，我按表哥帖子，结果发现那部分代码已经被vm了。
1 | 2.反手hook创建线程得到真实的线程地址。 |
g_StartRoutineHid0内容：
g_StartRoutineHid1内容：
g_StartRoutineHid2内容：
句柄表遍历
你怎么遍历我怎么遍历
这个是在线程里边的
这个是3环接口使用的
部分信息查询
我就查一下怎么了
页目录初始化
驱动回调部分
回调接口部分的校验：
驱动的接口函数
理论上还是不要偷它回调了，虽然楼主试过了。
关于一些奥里给检查
快抹PE头
关于一部分标志检查
给我看看
参考
https://bbs.pediy.com/thread-260331.htm
https://bbs.pediy.com/thread-254276.htm
表哥牛逼
[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界
|
|
|---|---|
|
|
|
|
|
你们可做个人吧。。。
|
|
|
|
|
|
|
|
|
最后一个图是什么工具？？ |
|
|
大蜘蛛的沙箱，好像得企业申请，有人给这一类上传到大蜘蛛沙箱去了，所以vt那里能看到大蜘蛛沙箱的结果 |
|
|
 配图怪。图片比文章有意思了，这样可不行呀，老铁。
|
|
|
|
|
|
 懂了 马上去看其他驱动
|
|
|
快 给我点表情包 快用完了 |
|
|
老铁 我也不知道写啥子 但是代码很清楚了 |
|
|
元神牛逼 |
|
|
牛逼 |
|
|
|
|
|
危  楼主最好做个人
|
|
|
|
|
|
菜鸟向大佬学习,好多都看不懂哇
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hixhi
