火绒盾（断开网络失效）问题已经查明～～【问题已经解决】

chujunci

BootMgr 发表于 2012-7-31 14:29
自己的HOOK写得不好就不说了，出问题还要赖别人？别人挂了IAT你就出问题，这是什么代码质量啊

而且还是没 ...

挂钩本身对系统性能影响并不大，有影响的是HOOK后的处理过程，这个需要作者有很好的技巧来最大可能的提高处理的效率

大金鱼先生

1.                     
   
2.        public string getPostBackStream()  
   
3.          {  
   
4.                     string postData1 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "md5s" + '"' + '\n' + '\n' + md5(filename.Text) + '\n' + '\n';
   
5.                     string postData2 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "format" + '"' + '\n' + '\n' + "XML" + '\n';
   
6.                     string postData3 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "product" + '"' + '\n' + '\n' + "360zip" + '\n';
   
7.                     string postData4 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "combo" + '"' + '\n' + '\n' + "360zip_main" + '\n';
   
8.                     string postData5 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "360zip_main" + '"' + '\n' + '\n' + "2" + '\n';
   
9.                     string postData6 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "osver" + '"' + '\n' + '\n' + "5.1" + '\n';
   
10.                     string postData7 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "vk" + '"' + '\n' + '\n' + "a03bc211" + '\n';
    
11.                     string postData8 = "-------------------------------7d83e2d7a141e" + '\n' + "Content-Disposition: form-data; name=" + '"' + "mid" + '"' + '\n' + '\n' + "8a40d9eff408a78fe9ec10a0e7e60f62" + '\n';
    
12.                     string postData9 = "-------------------------------7d83e2d7a141e";
    
13.                     string postData=postData1+postData2+postData3+postData4+postData5+postData6+postData7+postData8+postData9;
    
14.                     string url = "http://qup.f.360.cn/file_health_info.php";
    
15.                     byte[] byteRequest = Encoding.Default.GetBytes(postData);  //postData中存储了附加信息，转化为默认编码方式
    
16.                     HttpWebRequest request = (HttpWebRequest)HttpWebRequest.Create(url);
    
17.                     CookieContainer cc = new CookieContainer();
    
18.                     request.ContentType = "application/x-www-form-urlencoded";
    
19.                     request.CookieContainer = cc;
    
20.                     request.Referer = "image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*";
    
21.                     request.ContentLength = byteRequest.Length;
    
22.                     request.Accept = "*/*";
    
23.                     request.Method = "POST";
    
24.                     Stream stream = request.GetRequestStream();
    
25.                     stream.Write(byteRequest, 0, byteRequest.Length);
    
26.                     stream.Close();
    
27.                    HttpWebResponse response = (HttpWebResponse)request.GetResponse();            
    
28.                    stream = response.GetResponseStream();  
    
29.                     StreamReader reader = new StreamReader(stream,Encoding.GetEncoding("GBK"));
    
30.                     string html = reader.ReadToEnd();
    
31.                     return html;
    
32. 
    
33.           }  

复制代码

既然有大牛在，询问个很小白的问题·····这个post到360的网址为啥子到了红色的那一步会提示错误，远程服务器禁止呢？抓包了下，服务器返回的是404，但是用其他软件同样的post格式是能返回数据的····

chujunci

BootMgr 发表于 2012-7-31 15:44
下了个火绒，简单看了下这个的实现，搞明白原因了， 根本就不是你那个贴图的调用原始的NdisRegisterPro ...

膜拜MJ！

zhq445078388

BootMgr 发表于 2012-7-31 17:32
在r0拦截除了一些特殊的功能外，基本上没有意义的，如果你看到一些安全软件（比如微点、江民之类）去防御 ...

比如可以修改他的主线程中段指向exitprocess来实现让他安全退出
或者搜索CreateThread调用点 让他的函数地址参数修改为exitprocess的入口?

嘿嘿  想想就猥琐哦
比如先定位CreateThread地址 然后全局解析call
看哪里call到那个地址了 然后把上面的push传参修改掉 改成exitprocess的入口~

zhq445078388

chujunci 发表于 2012-7-31 17:21
这个是360的HOOK保护？

你怎么会这么理解的?

chujunci

zhq445078388 发表于 2012-7-31 18:13
你怎么会这么理解的?

这个。。。。。。。。。我。。。。。。。。。听大肉鸡说的，不过貌似他说的不是指这个。

zhq445078388

chujunci 发表于 2012-7-31 18:15
这个。。。。。。。。。我。。。。。。。。。听大肉鸡说的，不过貌似他说的不是指这个。

.额...这个方法是我用在我的那个驱动保护上的

chujunci

zhq445078388 发表于 2012-7-31 18:19
.额...这个方法是我用在我的那个驱动保护上的

其实很正常啦！用HOOK保护HOOK等其他      是很常见的手法。

zhq445078388

chujunci 发表于 2012-7-31 18:21
其实很正常啦！用HOOK保护HOOK等其他      是很常见的手法。

是一种很猥琐的~

chujunci

zhq445078388 发表于 2012-7-31 18:30
是一种很猥琐的~

哈哈！是的1

你是怎么走上这条学习之路的？？？

你看了那些书籍资料？  看看和我的可一样。