首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
anti trick Ⅱ －－ InString
发表于: 2005-9-16 11:04 9243

anti trick Ⅱ －－ InString

Immlep 活跃值
11
2005-9-16 11:04
9243

anti trick Ⅱ －－ InString

site:325K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8@1N6r3g2S2L8g2)9J5k6h3y4G2L8b7`.`.
by 来自轻院的狼[Immlep]

这个不是什么新鲜的东西，不过我还没有见过有人在壳中使用的，用这个来做anti，它比FindWindow强很多了，不过这些东西说出来后，以后就没什么，可能以后你一看到类似的anti你就会很清楚了，另外这个anti调用的函数过多，代码长，挺不好的，本文中的例子（InString ）是我引用现成的代码的，只不过做了一下简单的修改。思路是使用GetWindow循环获取系统的窗口的标题，查看标题中是否包含了要查找的关键字，如果发现，就做坏事，这个来检测Ollydbg也挺好的，可以检测"- [CPU - ",这样的字样，另外因为Ollydbg调试的时候会把被调试程序的名称显示在Ollydbg的窗口中，所以我们也可以检测“－debugme.exe-[”这样的字符（debugme.exe为被调试程序的名称，你可以用GetFullFilename等函数来获取被加壳后程序的名称，然后再处理一下），当然最好先给这些字符加密一下了。。

还有你可以用InString来做不anti的其它事情，这样可以防止调试者在InString做手脚，另外这个anti调用的函数，你最好也让它干一些有用的东西，不要只拿来做anti,很容易被hook的:)

我测试了一下，anti效果还是良好的，什么修改版的Od都被干掉了（当然不保证以后），SoftICE的loader也不例外:)


[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・7
支持
分享
最新回复 (12)
softworm
雪    币： 494
活跃值： (629)
能力值： ( LV9，RANK：1210 )
在线值：
发帖
回帖
粉丝
私信
2 楼
spy++用了这个api。

在Ring0 hook掉NtUserBuildHwndList后，FindWindow,EnumWindow等都
不能得到被滤掉的hwnd,这个api却可以。

里面似乎没有什么系统服务调用，我是在ring3 hook了一下。
2005-9-16 12:09
0
liuyilin
雪    币： 303
活跃值： (476)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
好！！！！！！！！！！！！！！！！！！
2005-9-16 13:07
0
lnn1123
雪    币： 234
活跃值： (370)
能力值： ( LV9，RANK：530 )
在线值：
发帖
回帖
粉丝
私信
4 楼
多放点东西出来大家学习学习
2005-9-16 14:36
0
q3 watcher
雪    币： 215
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
支持,把坏事做绝,关键API使用代码模拟,对其他进行检测,发现就把进程杀光.
2005-9-16 17:47
0
wzmooo
雪    币： 11084
活跃值： (2799)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
我晕 我的od怎么才能不怕这些BY的家伙
2005-9-16 17:59
0
gzgzlxg
雪    币： 238
活跃值： (326)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
7 楼
如果我简单的将OD中窗口标题的显示给Nop掉，你怎么办？
2005-9-18 12:44
0
Immlep
雪    币： 298
活跃值： (445)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
8 楼
最初由 gzgzlxg 发布
如果我简单的将OD中窗口标题的显示给Nop掉，你怎么办？


我只能说，通往罗马的道路不只一条
2005-9-18 14:31
0
gzgzlxg
雪    币： 238
活跃值： (326)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
9 楼
你的第一篇附件中的debugme.exe有源代码吗？能否给一份学习学习。
另外，你的网站即不给浏览，又不给注册，为什么？
2005-9-19 01:22
0
Immlep
雪    币： 298
活跃值： (445)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
10 楼
最初由 gzgzlxg 发布
你的第一篇附件中的debugme.exe有源代码吗？能否给一份学习学习。
另外，你的网站即不给浏览，又不给注册，为什么？


有这事？我这里没有什么问题啊？？可以上啊。。注册我也开通了！！

附件中是debugme的代码。。当初写的时候很匆忙。。也写的比较快。。所示很乱。。我刚才用masm32编译了一下似乎有点问题。。这里仅供参考，如果有什么好的点子的话，大家可以交流交流。。谢谢！！

¸½¼þ:antidebug.rar 附件:antidebug.rar
2005-9-19 01:55
0
freecat
雪    币： 218
活跃值： (2929)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
11 楼
ilovexiaoru 是不是这密码了哦
2005-9-19 04:07
0
gzgzlxg
雪    币： 238
活跃值： (326)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
12 楼
Immlep:
非常感谢。
另外，网站注册时显示如下信息：
Not Found
The requested URL was not found on this server
2005-9-19 05:44
0
Immlep
雪    币： 298
活跃值： (445)
能力值： ( LV12，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
13 楼
最初由 gzgzlxg 发布
Immlep:
非常感谢。
另外，网站注册时显示如下信息：
Not Found
The requested URL was not found on this server

可以了。。之前为了防止一些自动注册机注册。。所以把注册页面改了名字。。。
2005-9-19 10:02
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回