搜尋此網誌

前言事情是這樣的，一如反常的我打開我的 macbook、打開虛擬機、打開 Windows、打開 Garena 、打開 LoL 想發洩一下這時候發現一堆人都在密我呢，好害羞啊，可是大家都密我一樣的東西，丟了一份照片.zip 過來，這引起了我的好奇註：這篇文章只分析 Dropper 部分，後面還有一支 *.exe 惡意程式有加殼，如果時間比較有空了我才會分析進去他在幹嘛XD，這篇文章主要是分享分析 *.vbe 加密後的 VBScript 的方法與解混淆的技巧。我不會承認是因為我懶得開虛擬機，所以這篇文章都在真實工作電腦內純靜態分析哈哈哈哈哈哈 TL;DR：如何清除病毒？因為這隻惡意程式把路徑跟檔名都寫死的，所以檢查一下你 Windows 的「啟動」資料夾是否有 r.vbe，跟 C:\programdata\opopopk.exe 這個程式是否存在。把啟動資料夾內的 r.vbe 與 C:\programdata\opopopk.exe 刪除就完成清除病毒惹惡意壓縮包附件首先你拿到這份壓縮包後，會看到裡面只有一個「照片.vbe」檔案，類型可見是 VBScript 編碼後的腳本文件打開這份 *.vbe 文件後，即可見內部是編碼過後的腳本，無法直接觀看到程式碼，你可以透過 VBS decrypter and encrypter 來完成這個解碼的部分，這個編碼解碼有一套固定算法沒有任何技術性，不要浪費人生在這種無意義的東西上把解碼後的程式碼稍微重新排版後，可以看到他的混淆很簡單，就只是把 VBScript 程式碼以字串方式，把每個 ASCII 碼以數字與逗號做切割保存在 Str 變數內。執行時，再將每個數字轉回文字並組合存在 restorecode 內，回傳 ASCII 組合起來的字串，再透過內建的 Execute 函數將 VBScript 執行起來。所以只要把 Execute 換為 MsgBox 函數：我們就可以很輕易的把程式碼攔截下來，接著進到下一步驟做分析。 Dropper 核心程式碼上面是完整攔截下來的 VBScript 的 Dropper 程式碼。一開始執行起來這一段很好理解，基本就是把自己目前這份混淆過後的 *.vbe 惡意腳本拷貝一份到 Wi...

閱讀完整內容

[分析][漏洞]破解酷狗音樂IP不在大陸無法聽的限制+解放VIP等級功能(附補釘)

- 2月 02, 2015

有人問這個奇怪的問題...XD 然後就去抓了一下酷狗在線音樂這套軟體,然後逆逆看. 首先連去酷狗音樂官網 ,然後下載這套軟體接著,安裝完之後就可以看到酷狗軟體介面了不過很不幸的事情是,會顯示國家不在大陸地區就無法觀看電台、樂庫、MV功能可以手動用Fiddler抓個包很快就會發現樂庫、電台、MV這三個功能是用一個IE控件框架+網頁來實現的所以就有人會想,那是不是跟知名的芊芊靜聽一樣,本機端檢測IP然後做擋掉很不幸的不是這樣T___T... 可以攔截發送出去的封包會發現,在GET出去之後返回的就是伺服器直接檢測IP然後return告訴使用者,因為不在大陸地區所以拒絕服務. 所以到這邊可以說的是, 如果想要使用酷狗音樂的功能你就得掛個VPN把IP掛去大陸才能使用了不過不過不過很重要說三次雖然它的服務寫的檢測很穩定,放雲端伺服器比對IP地區然後拒絕服務但是如果細心的話翻一下返回回來的原始碼有個很有趣的東西在這裡如果有登入&帳號等級是vip,那麼就開通vip等級的服務? 我們試試看用台灣IP瀏覽看看VIP等級的頁面試試看用Chrome瀏覽器+台灣IP直接瀏覽VIP頁面是ok的那如果我們對酷狗音樂播放器的HTTP請求下Hook直接跳轉到VIP頁面呢? 測試了一下把酷狗音樂播放器的HTTP GET請求Hook後修改掉連線頁面位置在丟回去讓它繼續run 接著就可以看到酷狗音樂伺服器給了個漂亮的頁面回應看看酷狗音樂上跑的結果成功把VIP功能解放出來啦~而且不用登入帳號也不用跳VPN. 最後小記:我本來想把這個需要Hook的點直接打patch上去程式本身,不過這支程式本身我還找不到辦法patch...它的手法很特別的是, 酷狗播放器本身完全不負責連線請求,則是由另個Client端的程式進行連線然後回應給播放器本身.(用IE框架發送) 我本來有想直接對Client端的程式打patch...封包撈了一下,UA顯示它的GET請求是.NET發出的,但是用了一系列ildasm,ilspy...工具去分析這支程式都沒辦法打patch... 如果有人研究出怎麼對這支程式打patch,求教學一下<(_ _)>

閱讀完整內容

[C#] Lambda花式應用噁爛寫法（跨UI委派秒幹、多線程處理...etc）

- 4月 20, 2015

為啥會有這篇呢...因為最近寫太多C# 突然發現Lambda對程式碼減化太有幫助了=...= 為了怕哪天老人癡呆忘了這些噁心的花式寫法，就開一篇Blog文紀錄了以前在寫多線程,可能得這麼寫： void Func() {/*多線程要做的事情*/} //接著呼叫： Thread nThread = new Thread(Func); nThread.Start(); 但今天用Lambda可以改寫： Thread nThread = new Thread(() => {/*多線程要做的事情*/}); nThread.Start(); 甚至在噁心點寫的寫法： new Thread(() => {/*多線程要做的事情*/}).Start(); 簡單來說Lambda的形式可拆解成： ()是指你的函數參數列、然後可用=>代表你要接的Lambda陳述句/塊，最後用{}把事情包起來。在來就是比較討厭的C#內要做跨UI線程操控UI上物件，會有跨UI安全性線程問題，所以一般會額外寫個委派函數，然後請求UI Thread去處理這個委派函數請求，才能控制這樣往往可能只用一兩次的委派函數，卻要占用一個篇幅去寫委派函數先看看正常的跨UI委派寫法： private delegate void nCallback(string ContentText); public void n(string ContentText) { if (this.InvokeRequired) { nCallback obj = new nCallback(n); this.Invoke(obj, new object[] { ContentText }); return; } this.Text = ContentText; } //調用時呼叫n("str") 就可以改寫成： this.Invoke(new Action(() => { this.Text = "Str"; })); 又因為=>後面可接陳述塊或者陳述句，所...

閱讀完整內容