新研究写法思路 DNF-木马加载处理-你们可以试试
新研究写法思路 XNF-木马加载处理-你们可以试试.版本 2
.子程序 假断检测
.局部变量 首地址, 整数型
.局部变量 地址__, 整数型
首地址 ＝ 十六到十 (“06000000”)
.变量循环首 (首地址, 首地址 ＋ 52428800, 65536, 地址__)
.如果真 (读内存字节集 (进程ID, 地址__, 4) ＝ { 139, 4, 36, 195 })
写内存字节集 (进程ID, 地址__, { 195, 144, 144 })
跳出循环 ()
.如果真结束
.变量循环尾 ()
.子程序 防网络中断
.局部变量 首地址, 整数型
.局部变量 地址, 整数型
首地址 ＝ 十六到十 (“06000000”)
.变量循环首 (首地址, 首地址 ＋ 52428800, 65536, 地址)
.如果真 (读内存字节集 (进程ID, 地址, 4) ＝ { 139, 4, 36, 195 })
写内存字节集 (进程ID, 地址, { 195, 144, 144 })
跳出循环 ()
.如果真结束
.变量循环尾 ()
.子程序 防中断检测
.局部变量 首地址11, 整数型
.局部变量 地址1, 整数型
.局部变量 地址2, 整数型
.局部变量 地址3, 整数型
首地址11 ＝ 十六到十 (“04000000”)
.变量循环首 (首地址11, 首地址11 ＋ 55806496, 65536, 地址1)
.如果真 (读内存字节集 (进程ID, 地址1, 4) ＝ { 139, 4, 36, 195 })
写内存字节集 (进程ID, 地址2, { 195, 144, 144 })
跳出循环 ()
.如果真结束
.变量循环尾 ()
.子程序 防驱动中断
.局部变量 首地址, 整数型
.局部变量 地址, 整数型
首地址 ＝ 十六到十 (“06000000”)
.变量循环首 (首地址, 首地址 ＋ 首地址 ＋ 十六到十 (“06000000”), 十六到十 (“10000”), 地址)
.如果真 (读内存字节集 (进程ID, 地址, 4) ＝ { 139, 4, 36, 195 })
写内存字节集 (进程ID, 地址, { 195, 144, 144 })
跳出循环 ()
.如果真结束
.变量循环尾 ()
这个是-处理木马加载写法思路
.版本 2
.子程序 Pass_环境异常, , 公开
暂停进程 (“Tencentdll.exe”)
暂停进程 (“TenSafe_1.exe”)
暂停进程 (“TenioDL.exe”)
暂停进程 (“tcls_core.exe”)
暂停进程 (“txplatform.exe”)
假断检测 ()
防网络中断 ()
防中断检测 ()
防驱动中断 ()
.子程序 Pass_恢复环境异常, , 公开
进程恢复 (“Tencentdll.exe”)
进程恢复 (“TenSafe_1.exe”)
进程恢复 (“TenioDL.exe”)
进程恢复 (“tcls_core.exe”)
进程恢复 (“txplatform.exe”)
这个目前市场的盗版写法思路...可以作为参考试试一搏
.版本 2
.子程序 动态CRC1, 文本型, 公开, 第五季荣光更新 新添加
.局部变量 人偶基址_, 整数型
.局部变量 特征码, 整数型
特征码 ＝ 内存操作.搜索基址 (还原字节集2 (“5E 5B 8B 4D F4 5F 64 89 0D 00 00 00 00 8B E5 5D C3 90 90”), , 十六到十 (“04000000”), 十六到十 (“05000000”))
人偶基址_ ＝ 读内存整数型 (进程ID, 特征码 － 4)
返回 (十到十六 (人偶基址_))
好 就到这把，我已经实战成功 已解决 木马加载处理的办法了
在撸一遍。。 太生气了，无法HOLD啦 >_<...... 怎么弄啊，大神求教啊 支持支持支持 支持支持支持支持 看到这帖子真是高兴！ 无论是不是沙发都得回复下 好帖必须得顶起 高手云集 果断围观