首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [原创]有没有分析过Wsyscheck？ 0.00雪花
发表于: 2008-2-12 12:04 4095

[旧帖] [原创]有没有分析过Wsyscheck？ 0.00雪花

brodbus 活跃值
2008-2-12 12:04
4095
我最近对这个嚣张的软件很感兴趣，他自称2007最牛的软件，我研究出他是delphi写的，并且加了压缩壳，壳我也脱了。据我的研究他会释放一个驱动到临时目录下，但是奇怪的是他的释放和加载都比较奇怪没有使用createfile等API,加载驱动也是如此，让我困惑了好几天，哪位高手能分析一下，他到底用了什么高级技术？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (7)
brodbus
雪    币： 204
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
在线等啊，很着急，为了这个东西，年都没过好
2008-2-12 12:10
0
NWMonster
雪    币： 134
活跃值： (84)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
3 楼
看起来加入内核驱动，是为了对抗rootkit.
2008-2-12 12:19
0
brodbus
雪    币： 204
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
[QUOTE=;]...[/QUOTE]
恩，对的，他那个驱动就是扫描SSDT什么的，其他的功能比较垃圾，关键是他加载驱动的方式比较特别，如果哪位有兴趣我可以把脱了壳的文件发上来，不过比较大，1M多，原来的大概就300k
2008-2-12 14:52
0
brodbus
雪    币： 204
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
[QUOTE=;]...[/QUOTE]
自己顶一下，高手来助阵
2008-2-12 22:20
0
xPLK
雪    币： 375
活跃值： (12)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
6 楼
我的小程序轻易的过了它的进程检测。。

放一篇0GiNr的炉子同学的文章，这个东西的驱动逆向：
URL：
http://bbs.cfan.com.cn/thread-670233-1-1.html
2008-2-12 22:45
0
brodbus
雪    币： 204
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
[QUOTE=;]...[/QUOTE]
看了一下，果然逆的很透彻，似乎原代码一样，但是我对这个驱动不感兴趣，因为他这个驱动没什么含量，倒是他释放驱动到加载驱动的过程蛮隐蔽的，不知道有没有逆向过。。
2008-2-13 23:32
0
Kendiv
雪    币： 230
活跃值： (149)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
这个逆向～～～，IDA+F5，呵呵。
2008-6-30 14:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//