[讨论]如何正确的的分离注入的木马？-软件逆向-看雪-安全社区|安全招聘|kanxue.com

CNFlei

2007-8-2 20:49

4833

这几天一直在研究一个被注入木马的上兴远程控制软件，可是在研究的过程中发现了个问题想和大家讨论以下：
首先查壳:

脱壳：

脱壳后查毒：

脱壳并分解后查毒：

可是分解后的文件有一个加了UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]当用od载入时：

分解后的单个文件无法运行，不知道怎么将注入的木马分离出来？？？
请高手指点！
谢谢！

上传的附件：

收藏・1

免费・0

支持

最新回复 (1)
combojiang 雪币： 321 活跃值： (271) 能力值： ( LV13，RANK：1050 ) 在线值：发帖 44 回帖 765 粉丝 56 关注私信	combojiang 26 2 楼查找进程模块，看看哪个进程模块是注入的木马dll模块，然后创建一个远程线程将其从目标进程中释放。 2007-8-3 12:19 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

CNFlei

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (1)
combojiang 雪币： 321 活跃值： (271) 能力值： ( LV13，RANK：1050 ) 在线值：发帖 44 回帖 765 粉丝 56 关注私信	combojiang 26 2 楼查找进程模块，看看哪个进程模块是注入的木马dll模块，然后创建一个远程线程将其从目标进程中释放。 2007-8-3 12:19 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复