一个自己研究的病毒

显示全部楼层 · 发表于 2010-11-26 18:55:16

1. 通过线程初始化时, 获得esp堆栈指针中的ExitThread函数的地址，然后通过搜索获得kernel32.dll的基地址。
2. 遍历seh异常链，然后获得EXCEPTION_REGISTRATION结构prev为-1的异常处理过程地址，这个异常处理过程地址是位于kernel32.dll，通过它搜索得到kernel32.dll的基地址。
3. 通过TEB获得PEB结构地址，然后再获得PEB_LDR_DATA结构地址，然后遍历模块列表，查找kernel32.dll模块的基地址。

附件为可执行代码：

显示全部楼层 · 发表于 2010-11-26 19:09:45

to KIS

显示全部楼层 · 发表于 2010-11-26 19:11:28

卡巴没反应

显示全部楼层 · 发表于 2010-11-26 19:21:56

很厉害嘛。。[:26:]

显示全部楼层 · 发表于 2010-11-26 19:23:16

过大蜘蛛。

显示全部楼层 · 发表于 2010-11-26 19:28:53

本帖最后由三生缘石于 2010-11-26 19:31 编辑

eset 没反应
VT全过
http://www.virustotal.com/file-scan/report.html?id=48f9c25efaf8ed4b1370d7941c8ac9ff0f0b5dfb4277d4159a86f6a30dcfee4e-1290770903

显示全部楼层 · 发表于 2010-11-26 19:32:51

金山卫士正在鉴定……过NOD32

显示全部楼层 · 发表于 2010-11-26 19:46:44

期待360和微点主防

显示全部楼层 · 发表于 2010-11-26 19:50:07

360没反应

显示全部楼层 · 发表于 2010-11-26 19:50:23

确实很牛叉,奶豆都过了

[病毒样本] 一个自己研究的病毒

本帖子中包含更多资源

本帖子中包含更多资源