浪子_三少(邮箱:basketwill@qq.com)

已发表于本人专栏：  http://www.freebuf.com/column/142406.html最近收到一个钓鱼木马邮件，内容形式如下： 邮件里有个链接，当点开链接后会下载一个doc文档，打开文档会发现有宏代码 经过一些列解密后悔执行shell执行宏命令，打印出这个信息出来后发现，原来执行了powershell命令 是从网

已经发表于freebuf: (   http://www.freebuf.com/column/134855.html)5月12日晚突然爆发的Wannacry勒索病毒给人们也给各大安全厂商一个措手不及，360追日团队也第一时间给出了完整的木马分析，结合我自己的逆向以及分析我们来细说Wanncry使用了哪些木马技术。 1. 资源释放文件这个技术最早始于root

已经发布于freebuf ： http://www.freebuf.com/column/135103.html  Wannacry机理很多安全厂商都已经分析透了，他的加密核心功能就在他释放的t.wrny这个文件里，这个文件实际上是个动态链接库，是被Wanncry通过他自己的RSA+AES加密存放的，Wannacry在释放的时候会先读取到内存，然后通过RSA还原AES的key密码，最后

微软给我们提供了一些很好的程序，比如资源监视器，可以从这个软件里获取分析windows的自身的一些性能数据，比如CPU、内存、磁盘数据、文件读写、进程线程等，他具体怎么实现呢，今天这天文章就带你去获取其真实的原理。

https 浏览器 ssl https劫持

freebuf 已经发布该文章(http://www.freebuf.com/articles/terminal/128902.html) 如今浏览器经常会面临被其他软件劫持主页的风险，浏览器该如何自保呢。今天给出360浏览器的主页设置算法一些分析。360浏览器设置主页大致有两次计算机器码：一次是磁盘id，一次是计算网卡mac地址。两种md5计算方法，两

这篇文章接上一篇文章进一步升华：花了4个小时获得该信息的计算方式比如在 ｃｈｒｏｍｅ目录下的\Chrome\User Data\Default目录下的Secure Preferences，需要设置"startup_urls":["http://www.baidu.com/"]改参数时，chrome会在该文件中生成"startup_urls":"651507D384340BD7A56E3D3D7

(为了避免被360公司的法律问题，该不能写的很详细)360首页设置函数01D29F17    56              PUSH ESI01D29F18    53              PUSH EBX01D29F19    57              PUSH EDI01D29F1A    E8 617AF2FF     CALL chrome.0

chrome的代码开源的，但是代码量有2g，懒得看，经过一个多星期的逆向获得了其加密校验配置文件的算法： 有四、五轮的 sha256非标准的加密算法，下面是我的逆向的代码调试与程序调试的对比第一轮：hash 第二轮：hash第三轮 hash第四轮:hash第五轮 也就是最后一轮:输出

上周末突然有个外挂，逃过了反挂检测，竟然是全图外挂，通过IDA分析发现 一个virtualQuery函数, 于是在od中加载，算了一下该函数相对模块首地址的位置断下该函数，相对基址的偏移为0xB55E,于是断下 发现只要打勾，反复循环间隔500ms 都会走此函数，于是判断改地址是 外挂修改游戏的信息的函数 继续推测:通过windbg:来断下改地址，通

madchook的技术比较成熟和稳定，但是却被木马等程序利用，以至于被许多杀毒软件直接报木马，所以修改madchook内特有字符名称，可以逃脱杀毒软件报毒，与查杀，主要的特殊的字符窜是他的内存映射名称和他的文件名称，但是不能直接修改驱动文件名，否则dll文件无法加载驱动，所以本人经过多次的反复动态调试与逆向分析，发现dll中的特有字符串都被加密了，包括驱动的名称，分析发现加密的方式很简单，就是

声明:请支持使用正版软件，尊重原作者的劳动成果，此文只做技术交流，如有他人利用，产生后果，不负任何责任。    　　　　　　最近破解一款会务管理软件，用PEid侦查外壳，发现是是穿山甲的 外壳，　　　　　　　　　　　　　　　　但是还是无法显示出完整的信息出来可以发现 Upx0,UPX1的节段，说明，加了双层外壳，还有一层UPX的压缩壳，首先用OD打开这个软件

我们先看下hook  kiFastCallentry 点的汇编代码： winXp： FF05 38060000  inc    dword ptr [638]80542656  8BF2  mov    esi, edx80542658  8B5F 0C  mov    ebx, dword ptr [edi+C]8054265B  33C9  xor    ecx,

这个木马隐蔽性很强，内存中不存在任何明文字符串，很难用内存搜索去搜索一些明显字符串，内存的数据都是加密存在需要时才解密，然后立即释放，不会长期驻留在内存，所有的内容计算校验使用的是hash值来对比查找，而且还是用双重加密，给分析人员增加了不小的难度，            上次讲到此木马在内存里有个加密的pe文件存在，接下来我们就来讲解这个从内存里扣出来的pe文件到底怎么工作的。