微点交流论坛 - 反病毒 - win32k OD简单分析加未知畸变壳的灰鸽子

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 反病毒 » win32k OD简单分析加未知畸变壳的灰鸽子

点饭的百度空间
银牌会员

积分 2315
发帖 2236
注册 2007-11-30

#1 win32k OD简单分析加未知畸变壳的灰鸽子

作者:win32k http://hi.baidu.com/win32k/blog/ ... efd55d242df2c9.html

卡饭拿到样本，连接：
hxxp://bbs.kafan.cn/viewthread.php?tid=213743&extra=page%3D1

PEID查看未知壳

看大小就知道压缩了，只不过畸变又加了个区段

ＯＤ载入bp GetStartupInfoA,F9三次后（个人感觉GetStartupInfoA是分析带壳病毒最佳断点）

Alt+F9返回，分析从模块移除分析

查找ASCII

远程管理软件灰鸽子服务端安装成功！

至于壳脱不脱都无所谓了，其实还有一种方法分析灰鸽子，不过要把注册表搞的乱七八糟的，懒得用。

※ ※ ※ 本文纯属【点饭的百度空间】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-3-8 13:28

论坛跳转:

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号