一个无提示关闭36Xsafe和360sd的demo

notas

网上看到这个demo ，第一时间发出来给大家。

大体看了下是模拟点击， 作者说利用了未hook且不常用的函数。


作者不厚道，demo要修改主页。
没加壳，vb写的，，呵呵，水平有限，逆向基本是个白痴。


8.12  36x safe联网状态下测试有效。
sd电脑上没装，未测。

给我奖点阅读权限吧。
Kill36X.rar (10.33 KB, 下载次数: 7378)

2011-8-12 13:51 上传

点击文件名下载附件
阅读权限: 1

yxd199512041

ESET报毒（未查明的NewHeur_PE）

Tesla.Angela

把EXE拖进记事本，没有感觉到什么特别之处。
权限的获得可以参考此处：http://www.vbasm.com/thread-4478-1-1.html

Tesla.Angela

关于360的帖子果然是格外引人关注，发帖不到7个小时，就有5次下载了。。。
估计不乏360的论坛探子。。。

rshell

360 探子很多啊 一天时间就被杀郁闷.............

notas

那是360的md5查杀，拖进c32改几个字节就过了。

ywledoc

Tesla.Angela 发表于 2011-8-12 17:32
把EXE拖进记事本，没有感觉到什么特别之处。
权限的获得可以参考此处：http://www.vbasm.com/thread-4478- ...

拖记事本-_-。。那货，看不到太多东西。看函数调用流程，看loadlibrary的东西。那些个更神奇。。非特指此样本。

Tesla.Angela

ywledoc 发表于 2011-8-13 12:16
拖记事本-_-。。那货，看不到太多东西。看函数调用流程，看loadlibrary的东西。那些个更神奇。。非特指 ...

当时没有条件，随便说的。。。
分析当然要靠虚拟机+OD+IDA。。。

chenjifa

安装了一个全局钩子，这个钩子是WH_JOURNALPLAYBACK  
利用这个钩子回放鼠标移动点击消息
应该先利用模拟点击360托盘退出菜单
弹出那个关闭对话框
定位确定按纽
这个钩子回放的应该是移动鼠标点对话框确定按纽的消息队列吧？

马大哈

WH_JOURNALPLAYBACK 的话确实用得比较少,冷门啊,哈哈.

Tesla.Angela

chenjifa 发表于 2011-8-20 20:11
安装了一个全局钩子，这个钩子是WH_JOURNALPLAYBACK  
利用这个钩子回放鼠标移动点击消息
应该先利用模拟 ...

如果你说的是真相的话，感觉太不给力了，又是模拟点击！！！

9908006

很多外挂是用这个模拟鼠标的，早就发现它可以干360了，不过这下好了，公开后肯定也不能用了

Tesla.Angela

9908006 发表于 2011-8-22 22:19
很多外挂是用这个模拟鼠标的，早就发现它可以干360了，不过这下好了，公开后肯定也不能用了

个人感觉模拟点击始终是上不得台面的技巧。。。

9908006

但是这个确实非常有效，适用范围广，而且不容易封(封了的话很多外挂作者没饭吃了)

Tesla.Angela

9908006 发表于 2011-8-23 21:21
但是这个确实非常有效，适用范围广，而且不容易封(封了的话很多外挂作者没饭吃了)

貌似 三百六 根本没有考虑普通程序作者的饭碗，更别说考虑什么外挂作者的饭碗了。

cainiaocai

顶，看看:loveliness: