点击蓝字关注我们 前言 恶意代码分析是安全从业人员非常重要的一个技能。 之前提到过SSDThook隐藏和PEB断链隐藏，今天接触一下其他的。 参考书籍：恶意代码分析实战 Windows核心编程 Lab131 这里先运行一下，可以看到对一个网站的请求。 然后用IDA查看，没有看到这个域名相关的信息。 看到这里抽取资源文件，并对资源文件进行了异或操作。 这里我们对资源文件提取，进行异或操作，可以看到域名。 之后再调用了一个函数，获得主机名。 这里之后调用一个函数，我们用od看一下这里干了啥。 可以知道这里进行了base64编码 然后发送请求 读取返回内容。 然后进行判断。 Lab132 用IDA打开。 GetTickCount GetTickCount返回（retrieve）从操作系统启动所经过（elapsed）的毫秒数，它的返回值是DWORD。 函数解除锁定的内存块，使指向该内存块的指针无效 GlobalFree 释放指定的全局内存块 GetSystemMetries 通过设置不同的标识符就可以获取系统分辨率、窗体显示区域的宽度和高度、滚动条的宽度和高度。 GetDesktopWindows 该函数返回桌面窗口的句柄。桌面窗口覆盖整个屏幕。桌面窗口是一个要在其上绘制所有的图标和其他窗口的区域。 该函数检索一指定窗口的客户区域或整个屏幕的显示设备上下文环境的句柄，以后可以在GDI函数中使用该句柄来在设备上下文环境中绘图。 该函数创建一个与指定设备兼容的内存设备上下文环境（DC）。 CreateCompatibleBitmap 该函数创建与指定的设备环境相关的设备兼容的位图。 SelectObject 该函数选择一对象到指定的设备上下文环境中，该新对象替换先前的相同类型的对象。 GetObjectA t函数得泛指得到对象，到指定图形对象的信息，根据图形对象，函数把填满的或结构，或表项（用于逻辑调色板）数目放入一个指定的缓冲区。 GlobalAlloc 该函数从堆中分配一定数目的字节数。Win32内存管理器并不提供相互分开的局部和全局堆。提供这个函数只是为了与16位的Windows相兼容。简称全局堆分配 GlobalLock 锁定内存中指定的内存块，并返回一个地址值，令其指向内存块的起始处。 GlobalUnlock 函数解除锁定的内存块，使指向该内存块的指针无效，GlobalLock锁定的内存，一定要用GlobalUnlock解锁。 GlobalFree 释放指定的全局内存块 ReleaseDC 函数释放设备上下文环境（DC）供其他应用程序使用。函数的效果与设备上下文环境类型有关。它只释放公用的和设备上下文环境，对于类或私有的则无效。 DeleteDC 函数删除指定的设备上下文环境（Dc）。 DeleteObject 该函数删除一个逻辑笔、画笔、字体、位图、区域或者调色板，释放所有与该对象有关的系统资源，在对象被删除之后，指定的句柄也就失效了。 先获得操作系统的时间，作为文件名 然后截图 之后进入一个加密函数 最后写入文件 那么怎么看到这个截图呢，一种方法是在加密前直接返回。 还有一种是将加密后的图片内容取出来，放到加密的参数，这里是先假设自定义加密是可逆的进行尝试。按住第一个字节，shift往下脱，在最后一个字节上面按一下。 Lab133 放入PEid，无壳，并且可以看到有加密字段。 放入IDA中查看，这里通过插件可以看到先是调用了AES相关的函数 接着启用了socket初始化，与服务器通信 然后这里创建了两个管道 之后创建了cmd的进程。 之后创建了一个线程，从socket读取内容。 这里还涉及到了一个函数，点进去查看，可以得知是base64 然后调用了另一个函数，也是读和写的操作，这里进行了AES加密操作。 理一下，就是socket获取服务器base64编码后的数据，然后解码传递给cmd，然后cmd运行结果aes加密，然后传递给服务器。 这里通过插件和字符串可以判断出AES加密和base64编码，AES的私钥可以从main函数中得知。
（体育）跑步带来的不仅是健康的体魄，更是完整的人生专访跆拳道奥运会冠军吴静钰新华社北京11月6日电题跑步带来的不仅是健康的体魄，更是完整的人生专访跆拳道奥运会冠军吴静钰新华社记者孔祥鑫马晓冬李春宇连续四届参加奥运会，获得两枚跆拳道项目金牌吴静钰的运动生涯足原神杂谈纳西妲透露了多少提瓦特的秘密？小草神说的是真的吗？原神你好，欢迎回到Holdon2099的原神世界。最近比较忙，3。2发布好多天了，才刚刚做完主线任务。在任务中，小编最感兴趣的不是散兵机甲（爆料太多了），而是小草神的各种对话，其中不祥之兆？2022年血月即将再次出现，月球为什么会变红？在形容月光的时候，我们通常会用到皎洁之类的词语，不过月光并不是一直都是皎洁的，在有些时候，月球会罕见地发出红色的光芒，这种现象也被称为血月，在民间传闻中，血月的出现常被认为是不祥之余承东没吹牛，华为手机要王者归来了？销量开始回升了在今年上半年，也就是华为MateXs2发布前，余承东接受媒体采访时表示称，华为的手机供应链得到了极大的改善，华为手机开始又回来了，大家想买就能买到了。一时之间让网友们非常兴奋，因为网购大促激战正酣快递跑出加速度央视网消息双十一临近，网购大促目前也正在进行中。有消费者表示，与往年相比，今年的商家们发货速度都很快。今年的双十一，不少电商平台都推出了预售活动。消费者提前支付定金，到点支付尾款，A股有望翻10倍的5大ampampquot光刻机ampampquot企业，未来谁能成为ampampquot国产印钞机ampampquot？芯片之难难于光刻机芯片是什么？一颗小小的硅片上铺满了整齐排列的集成电路，在阳光照射下，像一种五彩斑斓的昆虫。但就是这种昆虫实打实地控制着科技时代的一切电脑手机家居电器汽车机械能救命听！声声不息的浙江活动火热进行中众多奖励等你拿活动规则2。天目新闻用户参与活动，答对5个声音场景，集齐5张海报，即可获得一次开奖机会。未集齐海报用户，次日可继续参与活动，直至活动结束。3。抽取到奖励的用户须在活动期间完成提现，海洋深处的5个至今未解之谜海洋的深处，就像太空一样，仍然给研究人员和科学家带来巨大的谜团。现在我们将讨论与地球海洋相关的五种最神秘的现象。鲸鱼自杀多年来，巨大而沉默的鲸鱼一直与智慧和宁静联系在一起。然而，有10月安卓好评榜，华为Mate50Pro排名暴跌，网友8GB运存要背锅最近安兔兔公布了10月份安卓手机好评榜，小米12SUltra蝉联第一，而华为Mate50Pro的排名出现了比较大的变化，从9月份的第2名下降到了10月份的第7名，好评率也从92。2刘强东创业成功背后的心酸经历，太让人大跌眼镜了随着社会的发展，现在越来越多的人喜欢贪图方便，都会在网上去买东西，所以催生了一个行业电商，像中国的电商有阿里巴巴，拼多多，京东，这三家电商巨头基本上占了中国电商的九十以上，京东的营油价调整消息今天11月7日，调价后929598号汽油零售限价最近原油供应先后受到OPEC减产，以及欧盟在12月以后对俄罗斯原油禁运的影响而持续面临收紧，原油价格从10月份开始走势尤为强劲，相比9月底累计涨幅已达到19，国内方面油价不仅在10