危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览18787954

又见熊猫病毒

“有人的地方,就有江湖,有江湖的地方,就有我,常在江湖飘啊,哪能不挨刀。”某日,我正在下载个自校验工具,结果不幸中招。打开后一切还算正常,但当我将自校验工具关掉后,神奇的一幕发生了,满屏的熊猫,我晕杀软竟然没反应,看来是做了免杀的,杯具啊(是哪个天使姐姐做的好事啊)。这时的我赶紧抄出家伙( XueTr.exe, 一款ark工具),结果又一幕悲剧发生了,XueTr根本启动不了,所有的exe文件全变成了图片。看来是做了文件关联了,心想:一般的病毒他不会把rar的后缀也考虑进去吧。是的的确是,我将XueTr后缀的exe改成了rar,图标变成了rar文件的图标,而不是先前的图片的样子。可是改了后缀根本就运行不了啊(x友:说了半天放了个没响的屁)。

大家不要着急,听我慢慢道来(x友:在卖关子,小心把你阉了)。改了后缀的可执行文件,用dos命令是可以启动开的。我们先新建一个文本文档,里面写入start XueTr.exe。将其文件另存为1.bat(幸好bat没有被禁掉),运行l.bat,我们的ark工具终于复活了,打开系统杂项设置看到了一些文件关联显示为红色,这就是被病毒所修改的,二话不说右键选择修复所有。ok,现在的exe程序都可以运行,我们离成功又进了一步。go on,打开启动选项卡,看到了一些显示蓝色的条目,这些要重点对待,看到了一个叫fuck.exe的。很可疑,右键选择检验数字签名。结果提示文件没有签名,选择该文件右键选择删除启动信息和文件。

看下进程也没有可疑的进程。下面拿出360急救箱进行扫尾工作吧。喝杯下午茶,让他修复吧,一会功夫,图标全部修复过来了。最后把病毒样本传到杀毒网上,等杀软更新病毒库,再全盘杀一下。

下面我们就看一看这个鬼文件,是用winrar捆绑的,我们把它提取出来。将其载入winhex,选择搜索中查找16进制数值,填入211A07,搜索,一直F3一直查找下一个,直到搜索到例如52xx72211 A07或5261xx211A07的形式为止,我第二次找到了520072211A07。我们将其中的00改为61。(如果搜索为5261xx211A07,就将xx地方改为72)。接着搜索807a,我搜到的为807a1000,我们将00改为61(这里搜到的第四个字节必须与你先前搜到的xx位置的数值一样,如果先前是5261xx211A07,把第四个字节改为72),保存。现在选择文件右键出现了用winrar打开,看到了一个为1.exe(真正的校验工具)和fuck.exe(熊猫烧香变种病毒文件)。

至此我们的熊猫之旅就结束了,最后友情提示下,病毒在虚拟机试下就算了,最好别再实体机运行!