菜鸟中的菜鸟 发表于 2016-4-5 23:20

如何寻找某软件的关机暗桩

这个软件一个eno, 一个退出ret，就能登陆进去了，应该是可可9.5的，然而让人郁闷的是，在用QQ帐号密码登陆后，当提示登陆成功后，就会马上关机.

eno处
00409C66    837D EC 00      cmp dword ptr ss:,0x0

退出时
004ACC90    55            push ebp

貌似这样就进入界面了，但是登陆Q号就会关机。


应该是有关机暗桩了，找字符串，只找到了一处，如下：


在这个段首ret，结果测试还是关机。所以又下ExitWindowsEx函数，但是却断不下来，难道不是使用的这个函数关机的？
找不到关机暗桩的位置了，所以请教下论坛的高手们，怎么找这个程序的关机暗桩，请高手指点，当然要是做个教程是最好了。

上传下软件：http://pan.baidu.com/s/1pLKOw9H

maxiori 发表于 2016-4-6 09:37

你的这个是退出好吗？找关机的你应该下个恶意代码检测插件，就能拦截下来

菜鸟中的菜鸟 发表于 2016-4-6 10:39

maxiori 发表于 2016-4-6 09:37
你的这个是退出好吗？找关机的你应该下个恶意代码检测插件，就能拦截下来

是关机，不是退出，退出ret后能进入界面，只是在使用功能时，出现关机了。有这种插件吗？

xiaoniao 发表于 2016-4-6 11:42

建议继续跟到关机 NOP掉CALL 或者他本身不是关机。

a3120832 发表于 2016-4-6 11:42

因为是提权 然后蓝屏 蓝屏之后迅速断电 所以关机断不下来

菜鸟中的菜鸟 发表于 2016-4-6 12:05

a3120832 发表于 2016-4-6 11:42
因为是提权 然后蓝屏 蓝屏之后迅速断电 所以关机断不下来

没有蓝屏，只是关机，也可能关键关机CALL被V了，所以没有找到。

a3120832 发表于 2016-4-6 12:37

先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，如果点不允许 跟着就到了蓝屏那看图4   （因为以前我修电脑的时候碰到过这种直接断电的 是蓝屏的原因 重装个系统就好了 开始我还以为是硬件问题）进系统前F8选择了里面一项 具体名字忘记了出现蓝屏错误什么的 不会显示蓝屏 而是直接断电或直接黑屏重启    个人意见不知道对不对。。

a3120832 发表于 2016-4-6 12:38

先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，如果点不允许 跟着就到了蓝屏那看图4   （因为以前我修电脑的时候碰到过这种直接断电的 是蓝屏的原因 重装个系统就好了 开始我还以为是硬件问题）进系统前F8选择了里面一项 具体名字忘记了出现蓝屏错误什么的 不会显示蓝屏 而是直接断电或直接黑屏重启    个人意见不知道对不对。。

菜鸟中的菜鸟 发表于 2016-4-6 14:28

a3120832 发表于 2016-4-6 12:38
先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，如果点不允许 跟着就到了蓝屏 ...

但是我在XP下没有看到蓝屏啊，难道是有一种蓝屏是看不到的？
页: [1]
查看完整版本: 如何寻找某软件的关机暗桩