如何寻找某软件的关机暗桩

这个软件一个eno, 一个退出ret，就能登陆进去了，应该是可可9.5的，然而让人郁闷的是，在用QQ帐号密码登陆后，当提示登陆成功后，就会马上关机.

eno处
00409C66    837D EC 00      cmp dword ptr ss:[ebp-0x14],0x0

退出时
004ACC90    55              push ebp

貌似这样就进入界面了，但是登陆Q号就会关机。


应该是有关机暗桩了，找字符串，只找到了一处，如下：


在这个段首ret，结果测试还是关机。所以又下ExitWindowsEx函数，但是却断不下来，难道不是使用的这个函数关机的？
找不到关机暗桩的位置了，所以请教下论坛的高手们，怎么找这个程序的关机暗桩，请高手指点，当然要是做个教程是最好了。

上传下软件：http://pan.baidu.com/s/1pLKOw9H

你的这个是退出好吗？找关机的你应该下个恶意代码检测插件，就能拦截下来

maxiori 发表于 2016-4-6 09:37
你的这个是退出好吗？找关机的你应该下个恶意代码检测插件，就能拦截下来

是关机，不是退出，退出ret后能进入界面，只是在使用功能时，出现关机了。有这种插件吗？

建议继续跟到关机 NOP掉CALL 或者他本身不是关机。

因为是提权 然后蓝屏 蓝屏之后迅速断电 所以关机断不下来

a3120832 发表于 2016-4-6 11:42
因为是提权 然后蓝屏 蓝屏之后迅速断电 所以关机断不下来

没有蓝屏，只是关机，也可能关键关机CALL被V了，所以没有找到。

先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，  如果点不允许 跟着就到了蓝屏那  看图4   （因为以前我修电脑的时候碰到过这种直接断电的 是蓝屏的原因 重装个系统就好了 开始我还以为是硬件问题）  进系统前F8选择了里面一项 具体名字忘记了  出现蓝屏错误什么的 不会显示蓝屏 而是直接断电或直接黑屏重启    个人意见  不知道对不对。。

先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，  如果点不允许 跟着就到了蓝屏那  看图4   （因为以前我修电脑的时候碰到过这种直接断电的 是蓝屏的原因 重装个系统就好了 开始我还以为是硬件问题）  进系统前F8选择了里面一项 具体名字忘记了  出现蓝屏错误什么的 不会显示蓝屏 而是直接断电或直接黑屏重启    个人意见  不知道对不对。。

a3120832 发表于 2016-4-6 12:38
先是另一个退出，创建进程werfault。exe ，我点了允许创建 软件弹出出错框，  如果点不允许 跟着就到了蓝屏 ...

但是我在XP下没有看到蓝屏啊，难道是有一种蓝屏是看不到的？