神奇的无壳易游POST补码问题

ks1001104 · 发表于 2019-4-11 21:50

分析过程

中文搜索找到 POST后补码后无法进入

求大大们指点

软件地址：https://www.lanzouw.com/i3qs3mh

哈勃分析：

基本信息

关键行为

行为描述：	跨进程写入数据
详情信息：	TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x00400000, Size = 0x00001000 TargetPID = 0x000009a8 TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x00401000, Size = 0x0005b000 TargetPID = 0x000009a8 TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x0045c000, Size = 0x000cf000 TargetPID = 0x000009a8 TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x0052b000, Size = 0x000a2000 TargetPID = 0x000009a8 TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x005f2000, Size = 0x00003000 TargetPID = 0x000009a8 TargetProcess = C:\WINDOWS\system32\cmd.exe, WriteAddress = 0x7ffda008, Size = 0x00000004 TargetPID = 0x000009a8
行为描述：	设置线程上下文
详情信息：	C:\Documents and Settings\Administrator\Local Settings\%temp%\****.exe

laoluo791 · 发表于 2019-4-11 22:57

暴力补码不行，他提示失败，说明第一次是获取版本，或者其他信息，所以他提示你失败，因为校验不对。

ks1001104 · 发表于 2019-4-11 23:27

laoluo791 发表于 2019-4-11 22:57
暴力补码不行，他提示失败，说明第一次是获取版本，或者其他信息，所以他提示你失败，因为校验不对。

求大大指点

weikun444 · 发表于 2019-4-12 08:19

SRSniffer.exe监控动作，山寨IIS+本地爆！小白表示只是思路！

终曲微末丶 · 发表于 2019-4-12 08:35

ks1001104 · 发表于 2019-4-12 08:42

weikun444 发表于 2019-4-12 08:19
SRSniffer.exe监控动作，山寨IIS+本地爆！小白表示只是思路！

srs抓不到数据全是乱码

ks1001104 · 发表于 2019-4-12 08:43

weikun444 发表于 2019-4-12 08:19
SRSniffer.exe监控动作，山寨IIS+本地爆！小白表示只是思路！

貌似是黑月编译，运行后是进程是cmd运行

a86532922 · 发表于 2019-4-12 09:35

那就内存里找字符串山寨

福尔摩斯锤 · 发表于 2019-4-12 12:31

push 大法不知道有功能没

福尔摩斯锤 · 发表于 2019-4-12 12:51

push 不知道有功能不

		自动登录	找回密码
密码			立即注册

RE: 神奇的无壳易游POST补码问题