Automatic Blaster Lite

显示全部楼层 · 发表于 2009-1-11 21:17:54

测试玩玩。基于上次写的那个kafan浏览器2的安全保护原理。建议在不打什么补丁的环境下运行（比如VM，里面是若干老系统），否则如果打了补丁将检测不到任何东西，程序自然会创建一个隔离环境。用之前劳烦点击“安全性检测”，如果检测失败千万不要用。
原理是HOOK 了CreateProcessInternalW，带毒网页内的病毒会被执行，这个操作会被拦截，然而如果打了补丁，漏洞消失，病毒自然不会执行本软件业就无从拦起了。
用法很简单，填入URL点击“加载并检测”，探测到的exe将被放在程序目录下的Outputs文件夹。支持直接将hxxp=>http，无需用户手工转换。
不支持Sbie，其他未知。
GoodLuck

显示全部楼层 · 发表于 2009-1-11 22:42:52

那个百分比是干啥用的为啥有时候出现10000%。。

显示全部楼层 · 发表于 2009-1-11 23:03:36

这得问ie…的内核

显示全部楼层 · 发表于 2009-1-12 08:35:44

又见经典之作

显示全部楼层 · 发表于 2009-1-12 17:40:43

如果有类似 shellcode 还原 hook 的话那应该会失效吧 ^^

显示全部楼层 · 发表于 2009-1-12 18:10:30

目前还没碰到这么高级的…我还没放

显示全部楼层 · 发表于 2009-1-12 18:12:44

很有创意,支持一下

显示全部楼层 · 发表于 2009-1-13 02:10:45

其实很多flash网马都已经这么做了

显示全部楼层 · 发表于 2009-1-13 11:52:44

只是HOOK 了CreateProcessInternalW不保险吧，记得驱网的一个讨论帖里这种方法被大牛鄙视了一通。
shellcode摘这个hook或者绕过还是可能的。
maxthon2安全监控没记错的话就有这个hook，还一样中flash网马。

[ 本帖最后由 dl123100 于 2009-1-13 12:13 编辑 ]

显示全部楼层 · 发表于 2009-1-13 18:05:30

那看来还要加入沙盘，文件虚拟化，或者干脆禁止swf下载

[原创] Automatic Blaster Lite

评分

回复 5楼挪威的冬天的帖子

评分

[原创] Automatic Blaster Lite

评分

回复 5楼 挪威的冬天 的帖子

评分

回复 5楼挪威的冬天的帖子