一枚网吧某监控软件分析求解，求助攻。

岁月静好。 · 发表于 2015-11-3 09:05

运行后会劫持IE，创建随机进程，断点在CreateProcessW，ShellExecute，Winexec均无法断下，创建的进程名称随机，目录随机，在R3下Hook了CreateProcessInternalW均无法拦截，也尝试了禁止explorer.exe也不行，想知道是用什么手法创建进程的。

其他进程都能拦截下来。

liu405216645 · 发表于 2015-11-3 10:09

不知道网吧的是什么系统如果是xp 果断上hips 拦截一切动作我用过eq魔法盾,ssm ssm需要重启来能用因为要加载驱动,但是eq不需要
你要是就分析的画那自己在虚拟机装一个应该没什么问题,想当年,我用他们挑战所有网吧计费系统,网吧计费系统无一幸免

柠檬树 · 发表于 2015-11-3 10:17

liu405216645 发表于 2015-11-3 10:09
不知道网吧的是什么系统如果是xp 果断上hips 拦截一切动作我用过eq魔法盾,ssm ssm需要重启来 ...

我突然想到既然是网吧你把这个文件给删了不就可以了

柠檬树 · 发表于 2015-11-3 09:46

在虚拟机运行看看测试一下运行结果

岁月静好。 · 发表于 2015-11-3 09:49

柠檬树发表于 2015-11-3 09:46
在虚拟机运行看看测试一下运行结果

测试过了，随机创建的进程，我想知道是如何创建进程的。

liu405216645 · 发表于 2015-11-3 10:26

柠檬树发表于 2015-11-3 10:17
我突然想到既然是网吧你把这个文件给删了不就可以了

你想的太简单了如果你删除提示文件被占用 ,然后一查是被system占用,网吧计费的经常就是这种情况,至少我这种小白对这种情况无能为力呀

岁月静好。 · 发表于 2015-11-3 10:39

liu405216645 发表于 2015-11-3 10:09
不知道网吧的是什么系统如果是xp 果断上hips 拦截一切动作我用过eq魔法盾,ssm ssm需要重启来 ...

净网，关键是不能不用他，只是不能让他创建随机进程。

Hmily · 发表于 2015-11-3 10:50

http://down.52pojie.cn/Tools/Anti_Rootkit/Procmon.exe

用Procmon抓下行为，可以看到堆栈和代码位置。

苏紫方璇 · 发表于 2015-11-3 10:51

我猜可能是创建进程的那个进程你没有hook上，所以导致无法拦截到

liu405216645 · 发表于 2015-11-3 10:54

岁月静好。发表于 2015-11-3 10:39
净网，关键是不能不用他，只是不能让他创建随机进程。

你的意思就是在这个基础上对软件进行修改让他固定进程,现在的问题是断点断不下来??

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 一枚网吧某监控软件分析求解，求助攻。