<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[abcd8080的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/abcd8080</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; abcd8080]]></copyright><item><title><![CDATA[android恶意代码分析]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632783</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632783</guid><author>abcd8080</author><pubDate>Sat, 22 Dec 2012 20:53:00 +0800</pubDate><description><![CDATA[之前都是在分析PE文件的，这个是找工作时的一个笔试题分析一个android恶意。用了一个星期熟悉java和android的东西然后写了这个分析有什么不对的地方还请大家见谅
1.基本信息
病毒名称：未知
病毒类型：含恶意广告
样本MD5：4360c2c29ed03898b925e07f4d648b4e
样本大小：7.43MB
2.概述
恶意代码部分先于程序启动加载自己的页面，...]]></description><category></category></item><item><title><![CDATA[od 调试多线程问题]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632780</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632780</guid><author>abcd8080</author><pubDate>Sat, 24 Nov 2012 20:21:00 +0800</pubDate><description><![CDATA[od对于单线程程序的调试效果非常高，今天在分析病毒是遇到个多线程病毒。在新线程中下硬件断点 hr 发现od并没有断下
在网上找了一下说这个问题的人并不多不知道有没有人帮忙解答一下。
我在调试病毒的时候是下的软件断点但是程序要重新调试这个软件断点才起到效果。
下面是问题的一个简单例子代码
#include "stdafx.h"#include &lt;iostream&gt;#in...]]></description><category></category></item><item><title><![CDATA[lnk文件感染遇到的问题]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632781</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632781</guid><author>abcd8080</author><pubDate>Thu, 08 Nov 2012 19:55:00 +0800</pubDate><description><![CDATA[关于lnk文件的感染偶然在网上看到的。然后就关注了一下，lnk文件的感染是很多人可能都忽略的一个问题。并且lnk文件的感染所产生的效果很好。把lnk文件指向我们想要感染的任何文件。
 要想感染这个文件，学习了pe病毒一段时间也知道了大概思路，那就是搞清楚lnk文件的格式。这个网上很多（但是不够完善，尤其缺乏我认为很重要的有关SHITEMID结构的解释）为了便于阐述我的问题下面这...]]></description><category></category></item><item><title><![CDATA[利用 sfc_os.dll #5号 api 关闭系统文件保护 篡改系统文件]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632778</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632778</guid><author>abcd8080</author><pubDate>Tue, 16 Oct 2012 22:28:00 +0800</pubDate><description><![CDATA[Windows文件保护对于恶意程序来说是个烦人的东西。尤其是当你想修改系统文件时它就起到保护作用了。这个sfc_os.dll #5号 api也是我在病毒分析时遇到的。它的作用是关闭系统文件保护60秒。
下面给出一个C的源码样例。利用这个时为了避免被查杀最好给程序加壳或者用hash来查找api。
//c code demotypedef DWORD(__stdcall *CPP) (D...]]></description><category></category></item><item><title><![CDATA[一次病毒分析过程的体会]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632779</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632779</guid><author>abcd8080</author><pubDate>Thu, 11 Oct 2012 21:03:00 +0800</pubDate><description><![CDATA[病毒分析过程



这个gay8病毒是在看雪上看到的，别人已经分析过了。感觉自己东搞西搞的一直到现在还是不叫混乱，今天来分析一个病毒试试，结果。。。呵呵依然是一头雾水，把这个过程写出鼓励一下自己不要灰心气馁。

首先peid查壳，还好没有加壳。然后ida反汇编查看string，imports。发现文件操作相关的api还有临时文件的api开辟内存api还有几个窗口的。...]]></description><category></category></item><item><title><![CDATA[端口复用原理&&源码]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632777</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632777</guid><author>abcd8080</author><pubDate>Thu, 27 Sep 2012 21:41:00 +0800</pubDate><description><![CDATA[端口复用原理&amp;&amp;源码
原理：在WINDOWS的SOCKET服务器应用的编程中，如下的语句或许比比都是：
　　s=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
　　saddr.sin_family = AF_INET;
　　saddr.sin_addr.s_addr = htonl(INADDR_ANY);
　　bind(s,(...]]></description><category></category></item><item><title><![CDATA[匿名管道技术与反弹木马技术（样例源码）]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632776</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632776</guid><author>abcd8080</author><pubDate>Sat, 22 Sep 2012 20:35:00 +0800</pubDate><description><![CDATA[管道是一种简单的进程间通信机制实际上是共享在一段内存。一个进程在管道写数据一个进程读取。匿名管道技术只能在父子进程或者一个进程的两个子进程之间通信。下面是一个简单的例子还有注释
#include "stdafx.h"#include &lt;WinSock2.h&gt;#include &lt;Windows.h&gt;#pragma comment(lib,"ws2_32.lib")...]]></description><category></category></item><item><title><![CDATA[远程注入技术（样例源码及反汇编分析）]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632775</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632775</guid><author>abcd8080</author><pubDate>Wed, 19 Sep 2012 21:49:00 +0800</pubDate><description><![CDATA[dll既动态链接库由多个功能函数构成，不独立运行,不会出现在进程列表中，dll作为进程的一部分很难被发现。因此是dll注入是木马很好的隐藏方式。
进行远程注入的方法：提升进程权限至Debug模式（因为只有Debug模式才能打开进程句柄），打开远程进程，将需要的信息写入远程进程的内存，启动远程线程加载dll。
进程提升：
OpenProcessToken（）打开进程令牌
Loopu...]]></description><category></category></item><item><title><![CDATA[枚举进程的几种方法（转）]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632774</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632774</guid><author>abcd8080</author><pubDate>Tue, 18 Sep 2012 20:40:00 +0800</pubDate><description><![CDATA[在Windows 2000以上的MS操作系统，通过Windows的任务管理器可以列出当前系统的所有活动进程,在Windows XP中，更是在控制台下增加了一条Tasklist命令，让系统下的所有进程无所遁行。这一切是怎么实现的呢？
方法一第一种方法是大家比较熟悉的通过ToolHelp Service提供的API函数来实现。这里用到了3个关键的函数：CreateToolhelp32Sna...]]></description><category></category></item><item><title><![CDATA[学习服务程序的编写（作为服务及木马的基础）]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632773</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632773</guid><author>abcd8080</author><pubDate>Fri, 14 Sep 2012 21:43:00 +0800</pubDate><description><![CDATA[服务 是指定系统功能的程序例程或进程。以便支持其他程序。尤其是底层程序。其实服务就是一种特殊的应用程序，他从服务启动开始一直处于运行状态。服务实在系统加载以后自动启动的不需要登录。Windows下的服务都遵循SCM接口标准。他们会在登录系统是自动运行。
服务能作为木马的重要特性：
可以被指定为自启动
在任何用户登录前运行，杀死杀软
后台运行不易被发现。
看到一个比较详细的关于服...]]></description><category></category></item><item><title><![CDATA[minim木马分析]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632771</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632771</guid><author>abcd8080</author><pubDate>Wed, 12 Sep 2012 20:02:00 +0800</pubDate><description><![CDATA[又是一个比较菜的木马分析，很久以前的木马，大家不要见笑。不积跬步无以至千里，我还是慢慢来呵呵。利用telent可以远程登录基本信息
 报告名称：mini木马分析  作者：...]]></description><category></category></item><item><title><![CDATA[端口扫描原理方法]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632769</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632769</guid><author>abcd8080</author><pubDate>Mon, 10 Sep 2012 16:51:00 +0800</pubDate><description><![CDATA[端口扫描：
端口扫描的目的：
判断目标主机上开放了哪些服务，判断目标主机的操作系统。如果入侵者掌握了目标主机开放了哪些服务运用何种操作系统，他们就能够使用相应的手段实现入侵。
端口的基本概念

常见公认端口

端口扫描原理：
TCP报文结构：
TCP协议只定义了一种报文格式
建立、拆除连接、传输数据使用同样的报文
TCP报文格式


TCP报文段首部（...]]></description><category></category></item><item><title><![CDATA[简单的下载者木马分析（2）dll部分]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632770</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632770</guid><author>abcd8080</author><pubDate>Sun, 26 Aug 2012 14:42:00 +0800</pubDate><description><![CDATA[附件：http://bbs.pediy.com/showthread.php?p=1097416#post1097416
dll部分这里面的建立service部分没搞明白，以前没有接触过不知道起到什么作用的求教啊。。。功能分析：1.提升进程权限2.判断dll运行环境3.释放文件，创建服务（这几个api以前没见过还没搞懂）4.创建线程，下载文件（url： http://c.shidaih...]]></description><category></category></item><item><title><![CDATA[简单的下载者木马分析]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632767</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632767</guid><author>abcd8080</author><pubDate>Sun, 29 Jul 2012 12:06:00 +0800</pubDate><description><![CDATA[算是第一次自己分析一个完整的木马，时间花费很长释放的dll还没来及分析后面会跟上。好多api都是刚刚查过才知道。很简单大家不要吐槽啊。附件里面有idb和原文件 还有脱壳后的文件。欢迎大家批评指教
附件：http://bbs.pediy.com/showthread.php?p=1090998#post1090998
基本信息
 报告名称：ye.exe下载者木马分析...]]></description><category></category></item><item><title><![CDATA[提升进程权限的两种方法]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632768</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632768</guid><author>abcd8080</author><pubDate>Thu, 26 Jul 2012 16:06:00 +0800</pubDate><description><![CDATA[1.通过LookupPrivilegevalue等函数
GetCurrentProcessID 得到当前进程的ID OpenProcessToken 得到进程的令牌句柄LookupPrivilegeValue 查询进程的权限 AdjustTokenPrivileges 判断令牌权限 要对一个任意进程（包括系统安全进程和服务进程）进行指定了写相关的访问权的OpenProcess操作，只要...]]></description><category></category></item><item><title><![CDATA[C语言实现的 inline hook]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632754</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632754</guid><author>abcd8080</author><pubDate>Fri, 20 Jul 2012 09:36:00 +0800</pubDate><description><![CDATA[这是看雪上的一篇文章。原题叫做C语言实现的EPO不过我觉得叫inline hook更合适。动手实践了一遍虽然中间有点小波折但是最终成功了。我作了更多的注释以便理解，尤其是
PE 的call jmp 特性开始不清楚导致没能明白跳转回原来的api的真实地址。希望对有兴趣的人有帮助。vc6.0完成后最好能动态调试一下，会有惊喜发现。main（）函数找来找去我才找到的。
不只是什么原因360...]]></description><category></category></item><item><title><![CDATA[程序 启动函数]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632755</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632755</guid><author>abcd8080</author><pubDate>Wed, 18 Jul 2012 16:42:00 +0800</pubDate><description><![CDATA[启动函数：
如果认为程序是从main(),winmain()开始执行的那就大错特错了。首先被执行的是启动函数相关代码，这段代码都是有编译器生成的。启动函数完成初始化进程在调用main函数。
对于vc程序来说可以再 中找到启动函数的源代码，对于控制台程序源代码在 中。
所有c/c++程序运行启动函数的基本作用都是相同的：
1，获取指向新进程的完整命令行的一个指针；2，获取指向新进程...]]></description><category></category></item><item><title><![CDATA[通过导出表搜索api]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632753</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632753</guid><author>abcd8080</author><pubDate>Tue, 17 Jul 2012 10:32:00 +0800</pubDate><description><![CDATA[搜索整个ENT （Addressofname）表对要搜索的api进行匹配
if（Addressofname+number）= offsetof api_string
得到的number既是对应的addressofnameordinals的下标
num（addressoffunctions中的序号）=nbase（检索基数）+addressofnameordinals【number...]]></description><category></category></item><item><title><![CDATA[有加密的简单病毒]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632750</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632750</guid><author>abcd8080</author><pubDate>Fri, 13 Jul 2012 09:00:00 +0800</pubDate><description><![CDATA[基本信息
 报告名称:带加密简单病毒 分析  作者：  报告更新日期： 2012.07.13...]]></description><category></category></item><item><title><![CDATA[web蠕虫编写艺术]]></title><link>https://blog.youkuaiyun.com/abcd8080/article/details/101632765</link><guid>https://blog.youkuaiyun.com/abcd8080/article/details/101632765</guid><author>abcd8080</author><pubDate>Thu, 12 Jul 2012 15:37:00 +0800</pubDate><description><![CDATA[标题：web蠕虫编写艺术
作者：未知
译者：riusksk(泉哥)
来源：国外著名黑客杂志《hack in zine》

＊导言
＊自动化
＊搜集目标
＊绕过IDS,多态性和通讯
＊结语
===导言===
 本文以一些未公开的WEB蠕虫为例，这些蠕虫可通过PHP漏洞脚本...]]></description><category></category></item></channel></rss>