-
-
[注意]SourceFormatX － 强烈BS写这个软件的作者！
-
发表于: 2006-10-10 00:58
-
前2天偶然碰到一个软件：SourceFormatX，觉得还不错，就是要注册，比较烦，为了研究它的一个功能，我决定分析一下看看，没想到。。。
机器也因此重装了一次（我的笔记本没光驱！！系统没备份！！），极其气愤！看雪上也有人讨论过
主要的危险代码：
1，用winexec无限开窗口，直到你死机
2，删除你注册表，删了你肯定要重装了！(强烈BS！
)
主页上居然写这种话，不觉得脸红！！
760K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3y4F1i4K6u0W2N6r3g2^5N6s2u0#2M7$3S2Q4x3X3g2U0L8$3#2Q4x3V1k6V1L8%4N6F1L8r3!0S2k6q4)9J5k6h3S2@1L8b7`.`.
005771BE . E8 B1F8E8FF call <jmp.&kernel32.WinExec> ; \WinExec
call 00406A74
0057719E . /EB 25 jmp short killit.005771C5 ; 这行改成JMP跳过WINEXEC调用 005771A0 > |6A 03 push 3 005771A2 . |B8 34765700 mov eax, killit.00577634 ; 048229125055114025094102049210040021027068051099091168132234034161018208011 005771A7 . |8D95 68FBFFFF lea edx, dword ptr ss:[ebp-498] 005771AD . |E8 0AA5EDFF call killit.004516BC 005771B2 . |8B85 68FBFFFF mov eax, dword ptr ss:[ebp-498] 005771B8 . |E8 83CEE8FF call killit.00404040 005771BD . |50 push eax ; |CmdLine 005771BE . |E8 B1F8E8FF call <jmp.&kernel32.WinExec> ; \WinExec 005771C3 .^|EB DB jmp short killit.005771A0 005771C5 > \33C0 xor eax, eax
00566062 . 6A 02 push 2 ; /Origin = FILE_END 00566064 . 6A 00 push 0 ; |pOffsetHi = NULL 00566066 . 6A 00 push 0 ; |OffsetLo = 0 00566068 . 8B45 D4 mov eax, dword ptr ss:[ebp-2C] ; | 0056606B . 50 push eax ; |hFile 0056606C . E8 C309EAFF call <jmp.&kernel32.SetFilePointer> ; \SetFilePointer 00566071 . 3D 27E51000 cmp eax, 10E527 00566076 . EB 13 jmp short killit.0056608B 0055F105 . 6A 00 push 0 ; /pFileSizeHigh = NULL 0055F107 . 8B45 FC mov eax, dword ptr ss:[ebp-4] ; | 0055F10A . 50 push eax ; |hFile 0055F10B . E8 D477EAFF call <jmp.&kernel32.GetFileSize> ; \GetFileSize 0055F110 . 3D A8421200 cmp eax, 1242A8 0055F115 . /EB 1F jmp short killit.0055F136
00564159 . 6A 02 push 2 ; /Origin = FILE_END 0056415B . 6A 00 push 0 ; |pOffsetHi = NULL 0056415D . 6A 00 push 0 ; |OffsetLo = 0 0056415F . 8B45 F0 mov eax, dword ptr ss:[ebp-10] ; | 00564162 . 50 push eax ; |hFile 00564163 . E8 CC28EAFF call <jmp.&kernel32.SetFilePointer> ; \SetFilePointer 00564168 . 3D 508D0F00 cmp eax, 0F8D50 0056416D . 90 nop 0056416E . E9 F7000000 jmp killit.0056426A
|
|
|---|---|
|
|
|
|
|
最初由 tankaiha 发布 不会发布，汗～～ 
|
|
|
把破解版本发出来
SourceFormatX 2.56 中文试用版 发布日期: [2004/10/27] SourceFormatX 2.56 Service Pack 3 发布日期: [2005/03/04] 看来作者已经... 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我也中招了，XXXXXX 的。。。。。。。。。汗 ，脱完壳后，一不小心就重启了一次（幸好我有 影子系统
 ） ， 楼主厉害啊。。。。。。。。谢  |
|
|
|
|
|
我尝试过一次 后来注册表被它删除了 就在也没碰它
|
|
|
我今天搞了下也挂了，不过是在虚拟机下的
请问楼主一下两个地方怎么找到的哦，今天就因为没找到所以偷了下懒就。。。 ★下面这处千万别漏了，这个是点击格式化目录这个按钮时调用的，直接删你注册表的！！ -------------------------------------------------------------------------------- 00564159 . 6A 02 push 2 ; /Origin = FILE_END 0056415B . 6A 00 push 0 ; |pOffsetHi = NULL 0056415D . 6A 00 push 0 ; |OffsetLo = 0 0056415F . 8B45 F0 mov eax, dword ptr ss:[ebp-10] ; | 00564162 . 50 push eax ; |hFile 00564163 . E8 CC28EAFF call <jmp.&kernel32.SetFilePointer> ; \SetFilePointer 00564168 . 3D 508D0F00 cmp eax, 0F8D50 0056416D . 90 nop 0056416E . E9 F7000000 jmp killit.0056426A -------------------------------------------------------------------------------- 和 去除脱壳校验： 代码:-------------------------------------------------------------------------------- 0045A000 /$ 53 push ebx ; 计算校验值 0045A001 |. 89C3 mov ebx, eax 0045A003 |. B8 FFFFFFFF mov eax, -1 0045A008 |. 56 push esi 0045A009 |. 85D2 test edx, edx 0045A00B |. 74 16 je short SourceFo.0045A023 0045A00D |> 0FB633 /movzx esi, byte ptr ds:[ebx] 0045A010 |. 0FB6C8 |movzx ecx, al 0045A013 |. 31F1 |xor ecx, esi 0045A015 |. C1E8 08 |shr eax, 8 0045A018 |. 33048D C09B5700 |xor eax, dword ptr ds:[ecx*4+579BC0] 0045A01F |. 43 |inc ebx 0045A020 |. 4A |dec edx 0045A021 |.^ 75 EA \jnz short SourceFo.0045A00D 0045A023 |> 5E pop esi 0045A024 |. F7D0 not eax 0045A026 |. 5B pop ebx 0045A027 \. C3 retn -------------------------------------------------------------------------------- 还有楼主在试用中遇到其他限制或问题没有哦
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
向楼主学习，除了BS它更要颠覆它
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
