掀起你的盖头来：手工实战Rootkit木马

显示全部楼层 · 发表于 2009-1-19 18:35:43

没发现
我这里查看隐藏服务没用，看图吧

[ 本帖最后由 wolfwalk888 于 2009-1-19 18:41 编辑 ]

显示全部楼层 · 发表于 2009-1-19 20:21:29

对不起
我要吸取教训，痛改前非...
以后我再也不这么说了

原来发生了...误会...

水木版主是个好人..
原语句备份，警示自己：“强帖留名，这个样本很恶心~~~

”

[ 本帖最后由 smartholy 于 2009-1-19 21:08 编辑 ]

显示全部楼层 · 发表于 2009-1-19 21:50:08

看了下对wsyscheck的使用方法更加明确了[:27:]

显示全部楼层 · 发表于 2009-1-20 10:02:54

不错，很详细··

显示全部楼层 · 发表于 2009-1-20 10:57:36

谢谢，长见识，学知识，有收获！

显示全部楼层 · 发表于 2009-1-21 19:31:04

支持楼主多........

显示全部楼层 · 发表于 2009-1-22 11:58:16

谢谢lz 的辛勤劳动，对于Rootkit技术用在这个方面，都无语了。

显示全部楼层 · 发表于 2009-1-22 13:10:13

原帖由 曲中求 于 2009-1-18 18:56 发表
NO，这个教程是Rootkit木马的实例之一，展现的是手动操作的其中一个思路。恶意程序如果是同种类型的，在行为上可以说大致相同，但不一定会完全一样。

实例展示的是，在中毒后的修复步骤和思路，如果想知道病毒的完 ...

如果对于所有的Rootkit木马就好了.不过学到东西.还是比较好了

显示全部楼层 · 发表于 2009-1-23 22:11:39

楼主真乃强人啊，希望下次看到手工修复磁碟机的帖子。

显示全部楼层 · 发表于 2009-1-23 22:16:24

原帖由 wolfwalk888 于 2009-1-19 17:10 发表
其实有非法进程杀了到好说，关键是那些隐藏进程的，dll注入到exp下面。然后你卸载了，它还会自动注入，主流工具不可以用但可以试试一些非主流的东东，regedit不能打开注册表，可以修改后缀。autoruns被禁用了 ...

其实他的驱动没变，只是路径变了。

掀起你的盖头来：手工实战Rootkit木马

回复 100楼 tawny2008 的帖子