勒索病毒傀儡进程脱壳

样本是：wallet勒索病毒
环境：虚拟机VMWARE win7 32位
工具：OD，winhex


初次拿到样本，先用火绒剑工具监控下病毒样本的流程，可以看到有一个自创建进程的行为。




我们等找到OEP后，在CreateProcessA下断点进行跟踪，










找到OEP后，对CreateProcessA下断点


返回查看后续远程写执行代码操作，提前将断点打好













开始按F9，准备DUMP病毒执行代码，同时打开WINHEX，新建文件，将DUMP代码拷贝到新建文件中，










最后拼接成的可执行文件可直接运行，代表我们脱壳完成。


本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/499601.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

arm64动态链接库通过函数名获取函数偏移

arm64动态链接库通过函数名获取函数偏移

基本思路是分析elf文件, 首先遍历节区头部Elf32_Shdr查看sh_type属性值，得到属性值为SHT_DYNSYM的节区。 其次通过名字遍历节区结点，找到类型为STT_FUNC并且名字与其相同的结点。 代码如下： static void * xmalloc(size_t size) {void *p…
阅读更多...
arm32和arm64常用指令B BL BLX机器码计算

arm32和arm64常用指令B BL BLX机器码计算

现在大部分手机cpu架构是ARM v7-A和ARMV8-A,，在ARM-v7A中常使用32位ARM指令集并且支持thumb指令集与arm的切换，而在ARMV8中使用的是64位ARM指令集且不再有thumb指令集状态的切换了。在调用函数时，会有常用的调用方式：BL和B&#x…
阅读更多...
arm shellcode 编写详析1

arm shellcode 编写详析1

在编写arm shell code 之前，先介绍下arm中r0-r15寄存器的主要用途： Register Alt. Name Usage r0 a1 First function argument Integer function result Scratch register r1 a2 Second function …
阅读更多...
arm shellcode 编写详析2

arm shellcode 编写详析2

前一篇中介绍了arm shellcode基本用法，现在涉及到arm和thumb状态 在前一篇中默认为arm32模式： text:00008074 ; Segment type: Pure code .text:00008074 AREA .text, CODE .text:00008074 ; ORG 0x8074 .text:0000807…
阅读更多...
openssl c++实现bouncycastle中AES加解密

openssl c++实现bouncycastle中AES加解密

0x01 为什么要用bouncycastle 先说说JCE（Java Cryptography Extension）是一组包，它们提供用于加密、密钥生成和协商以及 Message Authentication Code（MAC）算法的框架和实现。 它提供对对称、不对称、块和流密码的加密…
阅读更多...
zlib数据格式及解压缩实现

zlib数据格式及解压缩实现

0x01 zlib和其他压缩的魔术头 一般来说压缩文件都有个魔术头，用于区分不同的压缩文件对应不同的解压缩算法。 7z文件: 00000000 37 7A BC AF 27 1C 00 03 CD F7 CC 2E 66 6A 33 00 7z集 枉?fj3 tar.xz文件 00000000 FD 37 7A 58 5A 00 00 04 E6 D6 B4 …
阅读更多...
python3 Crypto环境

python3 Crypto环境

前言 最开始想尝试在windows下面安装python3.6，虽然python安装成功，但在安装Cryto模块用pip3 install pycrypto老是会报错。老夫搞了半天，最终决定在linux下面去做。 以下流程限于linux系统： 0x00 安装python apt-get install p…
阅读更多...
win10用Eclipse+OpenJTag对S3C2440开发板进行动态调试

win10用Eclipse+OpenJTag对S3C2440开发板进行动态调试

0 背景在S3C2400开发板裸板调试程序中，常用调试手段有三种：点灯法，串口打印，OpenOCD。OpenOCD又分命令行和图形界面(Eclipse)。点灯发和串口打印调试效率都很低，若能掌握第三种调试方法，会让开发过程变得高…
阅读更多...
无源码情况下动态调试混淆的java程序

无源码情况下动态调试混淆的java程序

逆向工程JAVA通常是非常简单的，因为优秀的JAVA二进制反编译器已经存在多年。类似于jd-gui工具和恢复java二进制文件源代码功能也做的非常出色的。在这种情况下我们需要动态调试java反编译java程序的情况下，可以从反编译导出然后导入java IDE如Eclipse作为…
阅读更多...
mdb access2000 中文密码破解

mdb access2000 中文密码破解

access数据库破解工具很多，密码能不用费多大功夫就能破解出来，但是对于包含特殊字符包括中文字符的密码，就算破解出来后想通过数据库工具查看，复制粘贴到密码输入框实际都起不了作用 已迁移到：分享最前沿的安全信息-a…
阅读更多...
OpenJTAG调试S3C2440裸板程序

OpenJTAG调试S3C2440裸板程序

0x00 懵逼当你写好的初始化代码head.S和链接脚本uart.lds共同编译出来的*.bin，烧录到NandFlash中的时候，发现串口输出一片空白，这时你的想法是什么，砸电脑还是干点其他有用的事？还是老实的搭建调试环境吧，上…
阅读更多...
APK逆向之静态分析篇

APK逆向之静态分析篇

0x00 APK包结构0x01 APK反编译-apktool啰嗦一句，反编译之前配置好java环境，具体JDK安装过程，请参照之前的文章。下载最新版本的apktool.jar，并在当前目录下编辑脚本apktool.bat，内容如下： echo off set PAT…
阅读更多...
S3C2440 lds链接脚本解析

S3C2440 lds链接脚本解析

1. SECTIONS到底意味着什么在一个裸版程序里面含有*.lds文件，而lds文件意味着如果你的程序烧录在nandflash，那在nandflash的内存将根据lds文件指定偏移来分布，下面从不同场景来解释SECTIONS的内容。2. 小于4K程序若程序小于4K，那…
阅读更多...
安装qt5.9.5 windows环境

安装qt5.9.5 windows环境

下载：用国外链接下载慢，还是乖乖用国内链接地址吧，我这里5.9.5http://mirrors.ustc.edu.cn/qtproject/archive/qt/5.9/5.9.5/qt-opensource-windows-x86-5.9.5.exe。安装： 在安装的时候需要创建qt账号，然后根据你的vis…
阅读更多...
qt在visual studio 2015下的使用

qt在visual studio 2015下的使用

创建工程： 打开visual studio，按上一篇文章的方式创建新工程QtGuiApplication1，默认我们可以看到里面会出现QtGuiApplication1这个类是继承于QMainWindow这个类的。在创建过程中注意下图选项：有三个对象分别是QMainwindow&#xf…
阅读更多...
qt 收缩窗体

qt 收缩窗体

效果图：功能拆分图：代码： QtStubOption.cpp QtSubOption::QtSubOption(QWidget *parent): QLabel(parent) {ui.setupUi(this);m_GuiShow SHOWGUI;setMouseTracking(true);m_PicStatus[SHOWGUI] ":/QtGuiApplication3/tile";m_Pic…
阅读更多...
Android的ELF文件重定位详解，包括64位

Android的ELF文件重定位详解，包括64位

0x01 引言 ELF文件格式，主要基于两种，一种是基于链接视图，链接视图即是基于节(Section)来进行解析，一种是基于执行视图，执行视图即是基于段(Segment)来进行解析。前一种是用于静态分析的时候，譬如IDA载入。…
阅读更多...
lua安全之关于lua扩展第三方库

lua安全之关于lua扩展第三方库

android lua require第三方扩展库有三种方式： 1. 用c实现独立的lua模块作为android的第三方动态库来引入，优点是lua扩展库独立方便更新替换，缺点是需要修改虚拟机，开启宏支持dlopen调用的方式，并且还需要设置lua寻找so…
阅读更多...
IBinder获取手机服务信息异常

IBinder获取手机服务信息异常

小米8 利用IBinder transact获取服务的接口名字，结果出现以下异常： W/System.err: java.lang.SecurityException W/System.err: at android.os.BinderProxy.transactNative(Native Method) W/System.err: at android.os.BinderProxy.transact(B…
阅读更多...
服务动态选择域名问题

服务动态选择域名问题

服务动态选择域名三种方案： 1. 通过DNS就近调度。缺点：DNS的ip采集库维护很麻烦。优点：业务无缝接入。 2. sim卡和语言判断国家，做国家与域名的映射，缺点：国际漫游不准确。优点：一般能准确路由…
阅读更多...
最新文章

Copyright @ 2022~2023