【更新】恶意代码拦截插件V1.1【防止关机，格盘】还能快速查找暗桩？

            恶意代码拦截插件1.1

之前的版本一直由我的朋友。OD-CALL发布，此次就由我本人发布了，这里感谢他的支持。还有他帮忙测试。

插件功能：
         1.禁止恶意关机
         2.禁止格式化磁盘
         3.禁止删除文件
         4.禁止创建进程
         5.对创建文件保护
         6.摘除定时器
         7.提醒模式
此次插件代码几乎重写，增加用户勾选选项，可选择提醒模式还是默认模式。
更新说明：
1.增加创建文件保护
2.增加禁止删除文件
3.摘除定时器
4.修复格式化磁盘APIHOOK的函数，之前HOOK的函数不够底层。
5.增加摘除定时器，此模式会使所有此程序所有定时器失效
6.重写部分代码，增加设置界面，方便用户自定义。
7.去除禁用CMD,脚本执行等功能。（考虑到这些功能已经不属于插件范畴了，这个选项使用者可自行实现。）
8.添加附加注入，之前版本只支持载入进程拦截，本次支持载入，附加。
9.增加提醒模式。
10.获取关键代码调用处地址
11.修复调用约定

插件标题及设置界面


设置界面



拦截模式示意图



日志基本数据



考虑到很多格盘啊，修改用户密码什么的，所以拦截进程创建


暂时发现BUG，请不要右键->OD打开这样操作。这样的话无法进行拦截、
如果你觉得以上就是程序的功能的话那你就错了，下面由我们实战一下。
这个CM是OD-CALL 帮忙写的测试，再次感谢他。测试这个程序之前先把插件设置一下
设置完了。开始调试CM

断MessageBoxA 来到这里把JE  NOP注册成功




别高兴，到这里之后程序会校验的，检测到注册码不对就直接关机。，


下面开始清除这个暗装

注册成功后 会触发关机的，不过没关系，我们已经勾选了禁止关机

已经拦截下来了。下面开始去除暗装。我们在OD里跳到 448cde去看看

发现这里就是调用关机的代码。
好吧，向上走，来到

改为JMP。改完之后运行发现又弹出一个。

那我们就来到4013C1看看
来到这里

改成JMP跳。

再看程序
注册成功了，而且暗装没有触发。暗装去除成功。
其实还有一种更简单的办法，勾选设置里的《摘除定时器》。就直接干掉了。好了


使用办法：将SafeOD拷贝到插件目录（就是Plugin目录）
将HookMe拷贝OD目录（跟OD一个文件夹下）

PS:如果在XP上无法运行，请把运行库拷贝到系统目录。
再次感谢OD-CALL提供CM，和给出的建议及支持。么么哒！！

OD1.1插件.zip (2.05 MB, 下载次数: 2546)

2015-3-29 17:40 上传

点击文件名下载附件
插件

很多朋友提到OD上未显示插件，我试了吾爱汇编论坛工具包里的几款OD，均能正常加载使用。

不论WIN7还是XP。请先运行"运行安装库.bat"。

运行库.zip (1.54 MB, 下载次数: 1510)

2015-3-29 21:17 上传

点击文件名下载附件
运行库

请不要在调试程序上->右键->OD打开。这样可能导致无法拦截

好厉害啊！！

小明 发表于 2015-3-29 17:37
好厉害啊！！

感谢支持，希望能给出好的建议！

我按方法  放进去后 没有这个功能啊。。。

冷月浮华丶 发表于 2015-3-29 17:52
我按方法  放进去后 没有这个功能啊。。。

请问你开启了提醒模式吗？如果没开启就没有提示框，但是可以查看日志。

                               
登录/注册后可看大图

我没有这个

啦啦啦啦 支持

冷月浮华丶 发表于 2015-3-29 18:02
我没有这个

你确定你把SafeOD.dll放在了Plugin目录吗？两个DLL不在同一个目录下。SafeOD.dll放在Plugin目录，HookMe.dll放在OD目录下。

call-od 发表于 2015-3-29 18:04
啦啦啦啦 支持

为毛你不给我送分？

很强大的插件！！赞