【3.A.S.T】网络安全爱好者 - Powered by Discuz! Board

标题: [讨论]最新机器狗破解 [打印本页]

作者: 冰绿茶 时间: 2008-7-20 23:19 标题: [讨论]最新机器狗破解

[讨论]最新机器狗破解
议题作者：光芒果

前几天别人给我一份破所有还原的下载者，想把里面的下载地址改成自己的。

这个下载者用WinUpack 0.39 final压过，脱后修复了资源，在资源里看到一个HOOK用的DLL，一个

Downloader的exe，一个Kill杀软的exe，一个破还原的驱动SYS。

程序工作时先从自身释放所有资源，还会感染系统文件explorer.exe,winhlp32.exe，感染时

会在explorer.exe,winhlp32.exe的头部添加一个空间，用来写原来资源里Downloader的

内容。然后读取下载者自身（不在资源那块）的一个明文的下载地址，这个地址好改。

但重启后是被感染的explorer.exe起作用，而这个被感染的文件是读取Downloader（也就是原下载者的

资源部分那个Downloader）里面的下载地址，（也就是说原来下载者有两个放下载地址的地方，一个是

重启前读取的，另一个是重启后读取的。）

问题是资源里的Downloader也是经过WinUpack 0.39 final压过的，要改里面的地址必须要脱壳，

而脱壳后肯定会增大，脱壳后的Downloader可以正常运行，但导入原下载者后运行直接蓝屏。

到底感染的时候出的问题还是原程序在读取SYS驱动（驱动文件排在Downloader之后）的时候出的问题？

怎么解决？

如分析有需要可以找我要样本Q：89739102

作者: 独寻醉 时间: 2008-7-20 23:19

好高深啊。。。。。。。。

:mad: :mad: :mad: :mad: 我是菜鸟帮不上忙.就顶一下吧

帖子2 精华0 积分2 阅读权限40 在线时间1 小时注册时间2008-6-28 最后登录2008-7-6 查看详细资料引用报告回复 TOP 您知道您年薪应是多少?

weknow

晶莹剔透§烈日灼然

作者: 醉鞭名马 时间: 2008-7-20 23:19

蓝屏的话应该和驱动有关推测原来的机器狗导出资源部分写的不够完美导致的
建议LZ调试一下原来的程序看看修改之后的机器狗生成的驱动程序与修改之前的有没有什么差异
如果有差异证明是导出的问题那么就考虑一下修改导出部分
帖子9 精华0 积分29 阅读权限40 在线时间5 小时注册时间2006-10-14 最后登录2008-7-9 查看详细资料引用报告回复 TOP 爱要怎么说出口

光芒果

荣誉会员

作者: MGM 时间: 2008-7-20 23:19

你说“看看修改之后的机器狗生成的驱动程序与修改之前的有没有什么差异”

似乎不大明白，我导出资源时用restorator，把downloader部分导出，修改后再导入，这样会对生成的SYS有什么影响？

怎么改downloader的资源会关系到生成的驱动？select girl from Guilin where age='18-20' and bg='beautiful'--

帖子828 精华4 积分5474 阅读权限100 性别男在线时间160 小时注册时间2005-4-27 最后登录2008-7-11 查看详细资料引用报告回复 TOP

weknow

晶莹剔透§烈日灼然

作者: newdeng 时间: 2008-7-20 23:19

回复板凳光芒果的帖子
如果原来的机器狗自己导出资源是按照文件偏移的话那修改资源之后就不能到处正常的驱动文件此时如果加载这个畸形的驱动必然会蓝屏没见到样本我只是推测而已
帖子9 精华0 积分29 阅读权限40 在线时间5 小时注册时间2006-10-14 最后登录2008-7-9 查看详细资料引用报告回复 TOP 良辰择日，预测咨询，公司改名，权威易经

int21

晶莹剔透§烈日灼然

欢迎光临【3.A.S.T】网络安全爱好者 (http://3ast.com/)