网站 › 『=悬赏求助=』 › 这个核盾怎么逆向，大佬给个思路看看

冰易风情 发表于 2018-4-7 20:50

狐白小刺客 发表于 2018-4-7 23:08

没有被V 只是换了种方式编译 等找到所有资源的

苏九 发表于 2018-4-7 23:34

貌似有远程函数

破壁者 发表于 2018-4-7 23:56

给你一个解析

基本信息
文件名称： F-Q[全新版本].exe
MD5： 723397cd051cc2cfcd8e2bfe2946a88e
文件类型： EXE
上传时间： 2018-04-07 20:43:23
出品公司： N/A
版本： N/A
壳或编译器信息： COMPILER:Microsoft Visual C++ 6.0
关键行为
行为描述：      杀掉进程
详情信息：      C:\WINDOWS\system32\taskmgr.exe
行为描述：      设置特殊文件夹属性
详情信息：      C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 C:\Documents and Settings\Administrator\Local Settings\History C:\Documents and Settings\Administrator\Local Settings\History\History.IE5 C:\Documents and Settings\Administrator\Cookies C:\Documents and Settings\Administrator\IETldCache
行为描述：      直接获取CPU时钟
详情信息：      EAX = 0x186a63e5, EDX = 0x000000b6 EAX = 0x186a6431, EDX = 0x000000b6 EAX = 0x186a647d, EDX = 0x000000b6 EAX = 0x186a64c9, EDX = 0x000000b6 EAX = 0x186a6515, EDX = 0x000000b6 EAX = 0x186a6561, EDX = 0x000000b6 EAX = 0x186a65ad, EDX = 0x000000b6 EAX = 0x186a65f9, EDX = 0x000000b6 EAX = 0x1b1d6575, EDX = 0x000000b6 EAX = 0x4a85077c, EDX = 0x000000b6
行为描述：      获取窗口截图信息
详情信息：      Foreground window Info: HWND = 0x000103e6, DC = 0x0a010375. Foreground window Info: HWND = 0x000103e6, DC = 0x0c0101e7. Foreground window Info: HWND = 0x000104ca, DC = 0x0c0101e7. Foreground window Info: HWND = 0x000104cc, DC = 0x0c0101e7. Foreground window Info: HWND = 0x000104d4, DC = 0x0c0101e7.
行为描述：      获取TickCount值
详情信息：      TickCount = 282406, SleepMilliseconds = 60000. TickCount = 282421, SleepMilliseconds = 60000. TickCount = 282437, SleepMilliseconds = 60000. TickCount = 282453, SleepMilliseconds = 60000. TickCount = 222693, SleepMilliseconds = 100. TickCount = 222725, SleepMilliseconds = 100. TickCount = 222818, SleepMilliseconds = 100. TickCount = 282890, SleepMilliseconds = 60000. TickCount = 282921, SleepMilliseconds = 60000. TickCount = 282937, SleepMilliseconds = 60000. TickCount = 282984, SleepMilliseconds = 60000. TickCount = 283015, SleepMilliseconds = 60000. TickCount = 283046, SleepMilliseconds = 60000. TickCount = 283078, SleepMilliseconds = 60000. TickCount = 283093, SleepMilliseconds = 60000.
进程行为
• 创建本地线程
• 枚举进程
• 杀掉进程
文件行为
• 创建文件
• 创建可执行文件
• 覆盖已有文件
• 复制文件
• 删除文件
• 查找文件
• 设置特殊文件夹属性
• 修改文件内容
网络行为
• 连接指定站点
• 打开HTTP连接
• 建立到一个指定的套接字连接
• 读取网络文件
• 发送HTTP包
• 打开HTTP请求
• 按名称获取主机地址
注册表行为
• 修改注册表
• 删除注册表键值
• 删除注册表键
其他行为
• 检测自身是否被调试
• 创建互斥体
• 创建事件对象
• 打开互斥体
• 查找指定窗口
• 窗口信息
• 获取TickCount值
• 调整进程token权限
• 打开事件
• 获取窗口截图信息
• 可执行文件签名信息
• 调用Sleep函数
• 隐藏指定窗口
• 获取光标位置
• 可执行文件MD5
• 直接获取CPU时钟
• 加载新释放的文件
自己瞅瞅呗😄

破壁者 发表于 2018-4-7 23:57

有网络函数 我觉得可以用PChunter或者文件监视器

冰易风情 发表于 2018-4-8 08:56

M.y 发表于 2018-4-8 09:14

冰易风情 发表于 2018-4-8 08:56
那应该怎么逆向呢，很头很大啊

山寨他DLL有获取数据，一张正版号跑跑数据

冰易风情 发表于 2018-4-8 09:40

youxiaxy 发表于 2018-4-8 09:53

定位到 409000 然后就能搜索到 有用的文本信息了，这是 作者自己的防破暴露出来的。其他的自行发挥吧.

POJIE52 发表于 2018-4-8 10:05

狐白小刺客 发表于 2018-4-7 23:08
没有被V 只是换了种方式编译 等找到所有资源的

发帖的人就是fq的作者，你们逆向后他马上更新版本！

查看完整版本: 这个核盾怎么逆向，大佬给个思路看看