[12911] 2018-07-06_初窥卡巴斯基ARK读取MBR

文档创建者:s7ckTeam
浏览次数:3
最后更新:2025-01-18
2018-07-06_初窥卡巴斯基ARK读取MBR A R K M B R w r m s r   F r e e B u f   2 0 1 8 - 0 7 - 0 6 * w r m s r F r e e B u f L O N G   L O N G   L O N G   A G O H o o k I R P _ M J _ S C S I K B K B H o o k M B R K B 使 I / O M B R W i n d b g F a k e M B R W i n d b g F a k e M b r F a k e M b r G i t h u b   V M w a r e   W o r k s t a t i o n   1 2 M i c r o s o f t   W i n d o w s   7   U l t i m a t e   6 . 1 . 7 6 0 0   B u i l d   7 6 0 0   X 8 6 W i n d b g   1 0 . 0 . 1 0 5 8 6 . 5 6 7   X 8 6   1 8 . 0 . 0 . 4 0 5 ( h ) H e l l o K B . t x t $ $       H o o k C o m p l e t i o n R o u t i n e H o o k $ $   1   $ $   2   H e l l o K B C $ $   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - $ $   $ $ > a <   C : H e l l o K B . t x t   s t o r t _ 8 7 6 0 8 0 0 0 ! R a D r i v e r S c s i I r p   C : H e l l o K b C . t x t $ $   $ $   M Z   a t   8 7 6 0 8 0 0 0   -   s i z e   4 7 0 0 0 $ $       N a m e :   s t o r p o r t . s y s $ $       L o a d e d   s t o r p o r t . s y s   m o d u l e $ $   $ $   R a D r i v e r S c s i I r p $ $   I R P                                                                           k d >   d t   - r 2   n t ! _ I R P   p o i ( @ e s p   +   0 x 8 ) $ $   S t a c k L o c a t i o n                                                       k d >   d t   - r 2   n t ! _ I O _ S T A C K _ L O C A T I O N   p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 ) $ $   S R B                                                                           k d >   d t   - r 2   s t o r p o r t ! _ S C S I _ R E Q U E S T _ B L O C K   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 ) $ $   C D B                                                                           k d >   d t   - r 2   s t o r p o r t ! _ C D B 1 0   ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 ) $ $   n t ! _ I O _ S T A C K _ L O C A T I O N $ $   n t ! _ I O _ S T A C K _ L O C A T I O N . C o m p l e t i o n R o u t i n e   k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   +   0 x 1 c ) $ $   s t o r p o r t ! _ S C S I _ R E Q U E S T _ B L O C K $ $   s t o r p o r t ! _ S C S I _ R E Q U E S T _ B L O C K . C d b L e n g t h     k d >   ?   p o i ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x a )   &   0 x 0 0 0 0 ` 0 0 f f $ $   s t o r t p o r t ! _ C D B 1 0 $ $   s t o r t p o r t ! _ C D B 1 0 . L o g i c a l B l o c k B y t e 0             k d >   ?   p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 2 )   &   0 x 0 0 0 0 ` 0 0 f f $ $   s t o r t p o r t ! _ C D B 1 0 . L o g i c a l B l o c k B y t e 1             k d >   ?   p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 3 )   &   0 x 0 0 0 0 ` 0 0 f f $ $   s t o r t p o r t ! _ C D B 1 0 . L o g i c a l B l o c k B y t e 2             k d >   ?   p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 4 )   &   0 x 0 0 0 0 ` 0 0 f f
$ $   s t o r t p o r t ! _ C D B 1 0 . L o g i c a l B l o c k B y t e 2             k d >   ?   p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 4 )   &   0 x 0 0 0 0 ` 0 0 f f $ $   s t o r t p o r t ! _ C D B 1 0 . L o g i c a l B l o c k B y t e 3             k d >   ?   p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 5 )   &   0 x 0 0 0 0 ` 0 0 f f $ $   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - b p 1 0 0 0 0   $ { $ a r g 1 }   "         r   $ t 1 = p o i ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x a )   &   0 x 0 0 0 0 ` 0 0 f f         a s   / x   $ { / v : L e n g t h }   $ t 1         . e c h o                 . p r i n t f " $ { $ a r g 1 }   L e n g t h : % i " , $ t 1         . e c h o         . b l o c k         {                 . i f ( $ { L e n g t h }   = =   0 x a )                   {                         a d   $ { / v : L e n g t h }                         r   $ t 2 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 0 )   &   0 x 0 0 0 0 ` f f f f                         . e c h o                                 . p r i n t f " $ { $ a r g 1 }   O p C o d e : % i " , $ t 2                         . e c h o                                                 . i f ( $ t 2   = =   0 x 2 8 )                         {                                 r   $ t 3 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 2 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 4 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 3 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 5 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 4 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 6 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 5 )   &   0 x 0 0 0 0 ` 0 0 f f                                 . e c h o                                         . p r i n t f " $ { $ a r g 1 }   L o g i c a l B l o c k B y t e 0 : % i   L o g i c a l B l o c k B y t e 1 : % i   L o g i c a l B l o c k B y t e 2 : % i   L o g i c a l B l o c k B y t e 3 : % i " , $ t 3 , $ t 4 , $ t 5 , $ t 6                                 . e c h o                                       . i f ( ( $ t 3   |   $ t 4   |   $ t 5   |   $ t 6 )   = =   0 )                                 {                                         r   $ t 7 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 7 )   &   0 x 0 0 0 0 ` 0 0 f f                                         r   $ t 8 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 8 )   &   0 x 0 0 0 0 ` 0 0 f f                                         . e c h o                                                 . p r i n t f " $ { $ a r g 1 }   T r a n s f e r B l o c k s M s b : % i   T r a n s f e r B l o c k s L s b : % i " , $ t 7 , $ t 8                                         . e c h o                                             . i f ( ( $ t 7   |   $ t 8 )   = =   0 )                                         {                                                 g c                                         }                                         . e l s e                                         {                                                 . e c h o                                                         . p r i n t f " $ { $ a r g 1 } ! _ C D B 1 0 "                                                 . e c h o                                                 d t   - r 2   s t o r p o r t ! _ C D B 1 0   ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )                                                 r   $ t 9 = p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   +   0 x 1 c )                                                 . e c h o                                                         . p r i n t f " $ { $ a r g 1 }   C o m p l e t i o n R o u t i n e : % i " , $ t 9                                                 . e c h o                                                 $ $ > a <   $ { $ a r g 2 }   $ t 9                                         }                                 }                                 . e l s e                                 {                                         g c                                 }                         }                         . e l s i f ( $ t 2   = =   0 x 3 c )                         {                                 r   $ t 3 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 2 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 4 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 3 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 5 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 4 )   &   0 x 0 0 0 0 ` 0 0 f f                                 r   $ t 6 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 5 )   &   0 x 0 0 0 0 ` 0 0 f f                                 . e c h o                                         . p r i n t f " $ { $ a r g 1 }   L o g i c a l B l o c k B y t e 0 : % i   L o g i c a l B l o c k B y t e 1 : % i   L o g i c a l B l o c k B y t e 2 : % i   L o g i c a l B l o c k B y t e 3 : % i " , $ t 3 , $ t 4 , $ t 5 , $ t 6                                 . e c h o                                       . i f ( ( $ t 3   |   $ t 4   |   $ t 5   |   $ t 6 )   = =   0 )                                 {                                         r   $ t 7 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 7 )   &   0 x 0 0 0 0 ` 0 0 f f                                         r   $ t 8 = p o i ( ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )   +   0 x 8 )   &   0 x 0 0 0 0 ` 0 0 f f                                         . e c h o                                                 . p r i n t f " $ { $ a r g 1 }   T r a n s f e r B l o c k s M s b : % i   T r a n s f e r B l o c k s L s b : % i " , $ t 7 , $ t 8                                         . e c h o                                             . i f ( ( $ t 7   |   $ t 8 )   = =   0 )                                         {                                                 g c                                         }                                         . e l s e                                         {                                                 . e c h o                                                         . p r i n t f " $ { $ a r g 1 } ! _ C D B 1 0 "                                                 . e c h o                                                 d t   - r 2   s t o r p o r t ! _ C D B 1 0   ( p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   + 0 x 4 )   +   0 x 3 0 )                                                 r   $ t 9 = p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 )   +   0 x 1 c )                                                 . e c h o
H e l l o K B C . t x t                                                 . e c h o                                                         . p r i n t f " $ { $ a r g 1 }   C o m p l e t i o n R o u t i n e : % i " , $ t 9                                                 . e c h o                                                 $ $ > a <   $ { $ a r g 2 }   $ t 9                                         }                                 }                                 . e l s e                                 {                                         g c                                 }                         }                         . e l s e                           {                                 g c                         }                 }                 . e l s e                   {                         a d   $ { / v : L e n g t h }                         g c                 }         } "
ǁ $ $       H o o k $ $   1   $ $   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - $ $   I R P                                                           k d >   d t   - r 2   n t ! _ I R P   p o i ( @ e s p   +   0 x 8 ) $ $   M D L                                                           k d >   d t   - r 2   n t ! _ M D L   p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 ) $ $   I o S t a t u s                                                 k d >   d t   - r 2   n t ! _ I O _ S T A T U S _ B L O C K   ( p o i ( @ e s p   +   0 x 8 )   +   0 x 1 8 ) $ $   S t a c k L o c a t i o n                                       k d >   d t   - r 2   n t ! _ I O _ S T A C K _ L O C A T I O N   p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 6 0 ) $ $   n t ! _ I O _ S T A T U S _ B L O C K $ $   n t ! _ I O _ S T A T U S _ B L O C K . S t a t u s             k d >   ?   p o i ( ( p o i ( @ e s p   +   0 x 8 )   +   0 x 1 8 )   +   0 x 0 ) $ $   n t ! _ I O _ S T A T U S _ B L O C K . P o i n t e r           k d >   ?   p o i ( ( p o i ( @ e s p   +   0 x 8 )   +   0 x 1 8 )   +   0 x 0 ) $ $   n t ! _ I O _ S T A T U S _ B L O C K . I n f o r m a t i o n   k d >   ?   p o i ( ( p o i ( @ e s p   +   0 x 8 )   +   0 x 1 8 )   +   0 x 4 ) $ $   n t ! _ M D L $ $   n t ! _ M D L . S i z e                                         k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 4 ) $ $   n t ! _ M D L . M d l F l a g s                                 k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 6 ) $ $   n t ! _ M D L . P r o c e s s                                   k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 8 ) $ $   n t ! _ M D L . M a p p e d S y s t e m V a                     k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x c ) $ $   n t ! _ M D L . S t a r t V a                                   k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 0 ) $ $   n t ! _ M D L . B y t e C o u n t                               k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 4 ) $ $   n t ! _ M D L . B y t e O f f s e t                             k d >   ?   p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 8 ) $ $   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - b p 1 0 0 0 1   $ { $ a r g 1 }   "         r   $ t 1 = p o i ( ( p o i ( @ e s p   +   0 x 8 )   +   0 x 1 8 )   +   0 x 0 )         . e c h o                 . p r i n t f " $ { $ a r g 1 }   S t a t u s : % i " , $ t 1         . e c h o         . i f ( $ t 1   = =   0 )         {                 r   $ t 2 = p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 0 )                 r   $ t 3 = p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 4 )                 r   $ t 4 = p o i ( p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )   +   0 x 1 8 )                 . e c h o                         . p r i n t f " $ { $ a r g 1 }   S t a r t V a : % i   B y t e C o u n t : % i   B y t e O f f s e t : % i " , $ t 2 , $ t 3 , $ t 4                 . e c h o                 . i f ( $ t 3   = =   0 )                 {                         b c   1 0 0 0 1                         g c                 }                 . e l s e                 {                         . e c h o                                 . p r i n t f " $ { $ a r g 1 } ! M D L "                         . e c h o                         d t   - r 2   n t ! _ M D L   p o i ( p o i ( @ e s p   +   0 x 8 )   +   0 x 4 )                         d b   / c 1 0   $ t 2   +   $ t 4   L 2 0 0                         b c   1 0 0 0 1                 }         }         . e l s e         {                 b c   1 0 0 0 1                 g c         } "
K B W i n d b g M B R M B R

M B R K B
K B M B R 使 M B R 使 M B R K B K B M B R K B K B h t t p s : / / w w w . m a l w a r e t e c h . c o m / 2 0 1 5 / 0 1 / u s i n g - k e r n e l - r o o t k i t s - t o - c o n c e a . h t m l h t t p s : / / w w w . m a l w a r e t e c h . c o m / 2 0 1 5 / 0 2 / b o o t k i t - d i s k - f o r e n s i c s - p a r t - 1 . h t m l h t t p s : / / w w w . m a l w a r e t e c h . c o m / 2 0 1 5 / 0 3 / b o o t k i t - d i s k - f o r e n s i c s - p a r t - 2 . h t m l h t t p s : / / w w w . m a l w a r e t e c h . c o m / 2 0 1 5 / 0 3 / b o o t k i t - d i s k - f o r e n s i c s - p a r t - 3 . h t m l h t t p s : / / g i t h u b . c o m / M a l w a r e T e c h / F a k e M B R h t t p s : / / w w w . s e a g a t e . c o m / s t a t i c f i l e s / s u p p o r t / d i s c / m a n u a l s / s c s i / 1 0 0 2 9 3 0 6 8 a . p d f * w r m s r F r e e B u f
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则