搜索

[19158] 2017-11-21_围观C语言吧主如何调戏勒索软件大黑客（续）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-11-21_围观C语言吧主如何调戏勒索软件大黑客（续） 围 观 C 语 言 吧 主   如 何 调 戏 勒 索 软 件 大 黑 客 （ 续 ） i 春 秋   2 0 1 7 - 1 1 - 2 1 首 先 为 什 么 说 再 次 调 戏 呢 ， 因 为 这 个 大 黑 客 之 前 已 经 被 调 戏 过 了 一 次 ， 如 果 各 位 看 官 不 知 道 以 前 是 如 何 调 戏 的 ， 可 以 转 到 这 个 地 址 围 观 ： 围 观 C 语 言 吧 主   如 何 调 戏 勒 索 软 件 大 黑 客 围 观 C 语 言 吧 主   如 何 调 戏 勒 索 软 件 大 黑 客 （ 下 ） 为 什 么 会 写 这 篇 文 章 呢 , 因 为 这 个 叫 X i a o b a 的 大 黑 客 显 然 不 服 输 , 很 快 他 开 发 了 新 的 勒 索 软 件 , 然 后 再 次 大 肆 传 播
笔 者 呢 , 最 近 也 闲 着 , 而 且 继 上 次 调 戏 后 可 能 觉 醒 了 ” 攻 ” 的 一 面 , 这 个 叫 X i a o b a 的 大 黑 客 , 重 新 树 立 了 自 信 再 次 发 上 了 他 的 ” 新 作 品 ” , 要 么 他 就 是 觉 得 不 服 , 觉 得 上 次 只 是 失 误 才 让 他 的 勒 索 软 件 那 么 快 沦 陷 , 这 次 不 知 道 从 哪 找 了 那 么 多 信 心 想 要 ” P l a y   A g a i n ” , 那 么 他 就 是 一 个 纯 粹 的 ” 抖 M ” 在 被 调 戏 中 找 到 了 莫 名 的 快 感 , 不 管 怎 么 样 , 我 还 是 觉 得 调 戏 下 自 信 心 膨 胀 的 大 黑 客 比 s t e a m 上 喜 加 一 好 玩 多 了 。 当 然 ， 纯 粹 调 戏 大 黑 客 就 没 啥 意 思 了 ， 所 以 这 次 的 内 容 ， 除 了 用 最 简 单 的 办 法 干 掉 大 黑 客 的 勒 索 软 件 ， 写 出 O n e K e y   C r a c k e r   一 键 破 解 软 件 ， 然 后 联 系 大 黑 客 让 他 认 识 到 I T 界 的 险 恶 外 ， 我 们 简 单 科 普 一 些 逆 向 与 反 逆 向 还 有 反 反 逆 向 的 知 识 。 一 起 见 识 下 现 在 幼 儿 园 小 朋 友 都 会 做 的 “ 一 键 加 壳 ” “ 一 键 加 花 ” 在 某 些 反 破 解 手 段 上 有 多 么 的 不 耐 艹 。 简 单 来 说 就 是 让 X i a o B a 大 黑 客 死 也 死 个 明 白 。 那 么 回 到 主 题 ， 我 们 把 再 次 把 这 款 勒 索 软 件 下 载 下 来
我 们 将 软 件 拷 贝 到 虚 拟 机 中 ， 运 行 一 下 ， 很 快 ， 出 现 了 如 下 界 面 现 在 ， 使 用 o l l y d b u g 加 载 这 个 软 件 ， 很 快 提 示 这 个 软 件 被 加 壳 过 了
我 们 使 用 E x e I n f o s 看 看 遗 憾 的 是 ， E x e I n f o 也 无 法 查 到 这 个 壳 的 特 征 ， 我 们 打 开 s e c t i o n s 看 看
可 以 看 到 ， 有 两 个 S e c t i o n   N a m e 被 修 改 为 了 X i a o B a ， 当 然 ， 以 这 个 大 黑 客 的 智 商 要 写 壳 还 得 过 1 0 0 年 吼 ， 应 该 是 使 用 其 它 壳 加 壳 并 且 多 次 加 花 指 令 ， 为 了 找 点 “ 我 是 大 黑 客 ” 的 自 信 ， 把 壳 的 S e c t i o n   N a m e 用 某 些 工 具 自 行 修 改 了 一 下 ， 以 显 示 自 己 的 牛 逼 。 不 过 没 关 系 ， 我 们 直 接 运 行 这 个 勒 索 软 件 ， 用 附 加 的 方 法 来 查 看 这 个 壳 ： 然 后 和 上 一 次 一 样 ， 我 们 换 汤 不 换 药 ， 继 续 查 找 这 个 “ 宇 宙 第 一 语 言 先 有 易 语 言 后 有 易 语 言 ” 的 神 奇 易 语 言 作 品 的 字 符 串 比 对 特 征 值 8 B 5 4 2 4 0 4 8 B 4 C 2 4 0 8 8 5 D 2 7 5 0 D
很 快 ， 在 内 存 映 像 中 找 到 了 结 果 ， 我 们 在 汇 编 窗 口 中 跳 转 到 这 个 地 址 ， 然 后 下 断 点
之 后 随 便 输 入 一 个 密 码 ， 点 击 开 始 解 密 ， 很 快 ， 断 点 被 断 了 下 来 ， 我 们 观 察 堆 栈 ， 直 到 出 现 所 谓 的 “ 密 码 ” 很 快 ， 在 第 二 次 执 行 到 断 点 的 时 候 ， 我 们 抓 到 了 密 码 执 行 跟 随 ， 看 看 r e t 到 哪 里 如 果 没 记 错 的 话 ， 这 个 特 征 码 应 该 和 上 次 的 没 什 么 不 一 样 ， 我 们 只 需 要 比 对 一 下 这 段 代 码 在 内 存 中 的 哪 一 个 位 置 就 可 以 了 通 过 比 对 ， 发 现 在 内 存 中 存 在 2 处 这 个 比 对 。
那 不 就 和 上 次 一 样 么 ， 我 们 尝 试 修 改 这 里 的 代 码 ， 看 看 能 不 能 破 解 成 功 。
很 快 ， 这 款 勒 索 软 件 缴 械 投 降 ， 这 部 就 和 上 次 一 样 换 汤 不 换 药 么 ， 大 黑 客 还 以 为 换 了 个 强 点 的 壳 就 能 够 阻 止 逆 向 分 析 ， 实 际 上 并 没 有 卵 用 ， 实 际 上 就 算 是 S E   V M P 之 类 的 强 壳 ， 如 果 没 有 专 门 使 用 其 S D K 对 一 些 关 键 的 代 码 进 行 反 调 试 虚 拟 化 ， 结 果 还 是 一 样 的 ， 当 然 以 这 个 勒 索 软 件 作 者 的 智 商 ， 要 理 解 到 这 一 点 恐 怕 还 早 。 这 次 的 破 解 代 码 几 乎 可 以 和 上 次 的 代 码 共 用 ， 都 不 用 改 ， 就 是 进 程 名 从 x i a o b a . e x e 换 成 w a n n a d i e . e x e # i n c l u d e < W i n d o w s . h > # i n c l u d e < t l h e l p 3 2 . h > # i n c l u d e < i o s t r e a m > # i n c l u d e < f s t r e a m > # i n c l u d e < s t d i o . h > # d e f i n e E X E J _ E X E N A M E   " W a n n a D i e . e x e " s t a t i c   u n s i g n e d c h a r   c o n s t b i n [ ] = { 0 x 8 3 , 0 x f 8 , 0 x 0 0 , 0 x b 8 , 0 x 0 0 , 0 x 0 0 , 0 x 0 0 , 0 x 0 0 , 0 x 0 f , 0 x 9 4 , 0 x c 0 , 0 x 8 9 , 0 x 4 5 , 0 x f 8 , 0 x 8 b , 0 x 5 d , 0 x f c , 0 x 8 5 , 0 x d b , 0 x 7 4 , 0 x 0 9 } ; s t a t i c   u n s i g n e d c h a r   c o n s t c r k b i n [ ] = { 0 x 3 3 , 0 x c 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 , 0 x 9 0 } ; v o i d M E S S A G E ( c h a r   * s ) {                   M e s s a g e B o x ( N U L L , s , " " , M B _ O K ) ; } i n t   m a i n ( ) {                   c h a r   b u f f e r 1 k [ 1 0 2 4 ] ;                   u n s i g n e d   i n t   o f t = 0 ;                   i n t   b f o u n d = F A L S E ;                   H A N D L E   p r o c S n a p   = C r e a t e T o o l h e l p 3 2 S n a p s h o t ( T H 3 2 C S _ S N A P P R O C E S S ,   0 ) ;                   i f ( p r o c S n a p   = =   I N V A L I D _ H A N D L E _ V A L U E )                   {                                       M E S S A G E ( " 无 法 枚 举 进 程 n " ) ;                                       r e t u r n   0 ;                   }                   / /                   P R O C E S S E N T R Y 3 2   p r o c E n t r y   =   {   0   } ;                   p r o c E n t r y . d w S i z e   = s i z e o f ( P R O C E S S E N T R Y 3 2 ) ;                   B O O L   b R e t   = P r o c e s s 3 2 F i r s t ( p r o c S n a p , & p r o c E n t r y ) ;                   w h i l e ( b R e t )
                  w h i l e ( b R e t )                   {                                       i f   ( s t r c m p ( p r o c E n t r y . s z E x e F i l e , E X E J _ E X E N A M E ) = = 0 )                                       {                                                         b f o u n d = T R U E ;                                                         b r e a k ;                                       }                                       b R e t   = P r o c e s s 3 2 N e x t ( p r o c S n a p , & p r o c E n t r y ) ;                   }                   i f   ( ! b f o u n d )                   {                                       M E S S A G E ( " 未 找 到 目 标 进 程 n " ) ;                                       r e t u r n   0 ;                   }                   C l o s e H a n d l e ( p r o c S n a p ) ;                   H A N D L E   h P r o c e s s   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S , F A L S E ,   p r o c E n t r y . t h 3 2 P r o c e s s I D ) ;                                   i f   ( ! h P r o c e s s )                   {                                       M E S S A G E ( " 无 法 打 开 目 标 进 程 n " ) ;                                       r e t u r n   0 ;                   }                   D W O R D   o l d P r o t e c t , f w , p = 1 ;                   w h i l e ( o f t < 0 x 7 f f f f f f f - s i z e o f ( b u f f e r 1 k ) )                   {                                       V i r t u a l P r o t e c t E x (   h P r o c e s s , ( L P V O I D ) o f t ,   s i z e o f ( b u f f e r 1 k ) ,   P A G E _ E X E C U T E _ R E A D W R I T E ,   & o l d P r o t e c t   ) ;                                       R e a d P r o c e s s M e m o r y (   h P r o c e s s , ( L P V O I D ) o f t ,   b u f f e r 1 k ,   s i z e o f ( b u f f e r 1 k ) ,   N U L L ) ;                                       f o r   ( i n t s o f t = 0 ; s o f t < s i z e o f ( b u f f e r 1 k ) - s i z e o f ( b i n ) ; s o f t + + )                                       {                                                         i f ( m e m c m p ( b u f f e r 1 k + s o f t , b i n , s i z e o f ( b i n ) ) = = 0 & & ! ( p - - ) )                                                         {                                                                           W r i t e P r o c e s s M e m o r y ( h P r o c e s s , ( L P V O I D ) ( o f t + s o f t - s i z e o f ( c r k b i n ) ) , c r k b i n , s i z e o f ( c r k b i n ) , & f w ) ;                                                                           i f   ( f w = = 0 )                                                                           {                                                                                               b r e a k ;                                                                           }                                                                           i f ( f w = = s i z e o f ( c r k b i n ) )                                                                           {                                                                                               M E S S A G E ( " 破 解 成 功 ! 请 点 击 开 始 恢 复 文 件 " ) ;                                                                                               C l o s e H a n d l e ( h P r o c e s s ) ;                                                                                               r e t u r n 0 ;                                                                           }                                                         }                                       }                                       / / V i r t u a l P r o t e c t E x (   h P r o c e s s , ( L P V O I D ) o f t ,   s i z e o f ( b u f f e r 1 k ) ,   o l d P r o t e c t ,   N U L L   ) ;                                       o f t + = ( s i z e o f ( b u f f e r 1 k ) - s i z e o f ( b i n ) ) ;                   }                   M E S S A G E ( " 未 找 到 破 解 特 征 " ) ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理