大黑客显然不愿意放过这门生意，看来穷疯了5块钱也不放过，笔者说，算命的说只要2块，然后把我们的密码报过去。




看着大黑客一脸不敢相信的样子，我们继续挑逗


就不用骗自己了，估计这个大黑客的水准，密码破解估计不用1分钟，不过大黑客似乎没给我这个算命先生这个机会，把笔者拉黑了。那么,下一位~
大黑客三号：你的密码只值0.01元样本三号同样是逗比语言易语言的作品,它的大黑客一号的样本一样,同样是一个MBR勒索病毒,至于为什么是MBR勒索病毒呢,虚拟机运行后黑屏启动后会显示提示语的那种就属于MBR勒索病毒,不过这些都不是什么事儿,破解办法和一号的一模一样.笔者就不重复一遍了,直接贴上结果吧


其中密码为












大黑客四号：防破解做的还不错-但是并没有什么卵用说实话,笔者拿到大黑客四号样本的时候还是有点震惊的,为什么呢,一来这个勒索病毒,不仅加了壳加了花做了调试器检测,而且其而已代码还不是直接在本体进程执行的,而是通过注入其它进程的方式来执行的,并且注入的代码还是一个虚拟机.
不过笔者估计大黑客应该是用某种防破解软件制作出来的,以他的智商应该不大可能写的出这种程序出来,不过这已经不是仅仅靠PeDoll就能完成破解了的,笔者使用了OllyDbg与PeDoll联调的方式,将密码解了出来,下面涉及些专业知识,非战斗人员可以选择跳过
1. 首先我们把PeDolls和ollydbg还有样本一起复制到虚拟机,使用ollydbg加载这个样本.
2. 输入bpCreateProcessW下API断点,切换到断点窗口,跳转到CreateProcessW的入口地址处,然后取消断点,把断点下在入口指令的下几条.


为什么要这样做呢,因为这个程序防止调试断点手段就是检测入口点前1字节是否被修改为了int 3中断,如果不这样做,就会导致报错异常


3.断在下一个断电后,执行程序触发断点,继续执行直到CreateProceeW 返回,同时通过栈监视窗口我们知道其创建了系统进程tcpsvcs.exe并将恶意代码注入到当中执行


4. 打开pedolls,使用控制器连接,输入enumprocess


找到TCPSVCS的PID,可知其PID为2932,输入doll di \u0026lt;2932\u0026gt;回车,再次挂载勒索软件分析脚本,切换回ollydbg让恶意程序继续运行起来,之后的步骤就和之前做的一样了,最后抓取其密码得到7557881

• 「旺旺大法师TB」只做哑铃卧推，半年就可以把胸肌练大，这篇文章绝不骗人
• [瑜伽]在家练瑜伽的话可以吗
• 『小院食光』亲爱的，玫瑰花卖完了，蛋饼角瓜花，可以代表我的爱吗？
• ：无症状感染者传染性到底有多强？如何支持非洲抗疫？国家卫健委回应来了
• 解毒■猪油能解毒治病，还可以抗癌？很多老人被骗了几十年
• 「酒精」“喝酒”对健身的影响，到底有多大？
• 波比跳@4个瘦腰运动 居家就可以做到
• 田野牧蜂自然成熟蜜■葡萄酒和蜂蜜混合能喝吗？红酒里可以放蜂蜜吗？
• 「衰老」女人若不想老得太快，常用3种药材泡水喝，可以帮助延缓衰老
• 健身房@可以踢球赛了吗？健身房淋浴开放了吗？运动指南来了