leibso的博客

驱动病毒、无符号驱动文件 调试分析 win10 环境

文章目录简述：原理：原作者过程：模仿者：苛刻条件资料简述：​ 在勒索病毒进程中暴力检索密钥指针所在结构体的size、flag 等特征信息以找到疑似密钥的指针，然后取出指针指向的疑似密钥对一对加密文档和与之对应的未加密文档 进行测试。当对未加密文档进行解密，解密出数据和未加密文档匹配，那这个疑似密钥—就是勒索使用的密钥了。原理：​ 内存里残留了CSP 使用的 key_data_s 结构体，在该结构体中struct key_data_s{ void *unknown; // XOR-ed

1 总览：a) 查看清单文件AndroidManifest注册的各种信息（入口类、权限、广播、服务等）l 发现只有入口类信息：Ø com.test.pac.demo.MainActivityb) 安装程序查看大致行为l 输入UserName（长度为16）l PassWord 可以输入，也可以点击Generate 生成l 点击Check按钮验证PassW...

文章目录@[toc]1 MFC执行流程1.1 环境支持1.2 分析1.3 实践探索1.3.1 创建一个MFC程序1.3.2 下关键断点并调试1.4 转向MFC库源文件中观测2 逆向2.1 特征码的选择(比如我这里还是想找到InitInstance())2.2 使用调试工具(OD) 搜索特侦码咐语1 MFC执行流程1.1 环境支持vs 2017afxwin.h,afxcdialogex.h...

ROP – (Return Oriented Programming – ret2Libc) --返回导向编程的思想转载请注明出处,有错的请指正交流谢谢 ------Lebso