网页资讯视频图片知道文库贴吧地图采购
进入贴吧全吧搜索
计算机病毒吧 关注：1,356贴子：7,078

【技术贴】我的网友遇到了麻烦事0x1

只看楼主收藏回复

前不久，我的网友不知道从哪里搞来个挂，还没享受腾云驾雾的上帝快感，电脑就被锁了。
IP属地:江苏1楼2018-04-05 20:28回复
    这破锁机叫什么：最新驱动多功能
    难不成是驱动级锁机？谁信啊。就小学森那点技术，几个能写出驱动级啊。
    不用看，都知道是E语言的垃圾货。
    IP属地:江苏2楼2018-04-05 20:35
    回复
      改名为sth1.exe
      挂上pedoll
      IP属地:江苏3楼2018-04-05 20:46
      回复
        连接之后输入doll db<sth1.exe>之后回车
        IP属地:江苏4楼2018-04-05 20:47
        回复
          允许访问
          IP属地:江苏5楼2018-04-05 20:48
          回复
            挂好脚本之后Hook函数
            IP属地:江苏6楼2018-04-05 20:50
            回复
              一直运行就是了
              IP属地:江苏7楼2018-04-05 20:52
              回复
                关键执行结果：
                驳回：创建进程：(null)命令行：net user admin 6143718
                驳回：创建进程：(null)命令行：net user 加Q3235738406 6143718 /add
                驳回：创建进程：(null)命令行：net localgroup administrators 加Q3235738406 /add
                驳回：创建进程：(null)命令行：shutdown -s -f -t 2
                执行函数：打开 文件:\\.\\physicaldrive0
                Binary Hooker--> string (c398b3bacf255f903e5b28ffea60f869) string (b5a349162213626b73c25cf478c6a7a6)
                执行函数：打开 文件:\\.\\physicaldrive0
                数据已经Dump：大小 548
                写文件:476
                执行函数：打开 文件:\\.\\physicaldrive0
                数据已经Dump：大小 548
                执行：打开进程：explorer.exe
                执行：打开进程：explorer.exe
                执行：打开进程：explorer.exe
                通过分析我们得知，这是所谓的三重锁，即MBR锁+用户锁+屏幕锁
                IP属地:江苏8楼2018-04-05 20:54
                回复
                  再看屏幕，已经被锁了，和我们刚才得出的结论一样
                  IP属地:江苏9楼2018-04-05 20:55
                  回复
                    进程行为：
                    执行:创建 文件:C:\Users\admin\Desktop\sth1mgr.exe
                    执行:打开 文件:\\.\HR::DTrampo
                    数据已经Dump：大小 2920
                    写文件:388
                    驳回：创建进程：(null)命令行：C:\Users\admin\Desktop\sth1mgr.exe
                    执行:打开 文件:C:\Windows\Fonts\staticcache.dat
                    执行：打开注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\WINDDYY
                    执行：打开注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\WINDDYY
                    执行：设置注册表键值LastKey=\qpsj\
                    执行：打开注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
                    执行：设置注册表键值LastKey=\sth1.exe\
                    执行：打开注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\WINDDYY
                    执行：打开注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc
                    驳回：创建进程：(null)命令行：net user admin 6143718
                    驳回：创建进程：(null)命令行：net user 加Q3235738406 6143718 /add
                    驳回：创建进程：(null)命令行：net localgroup administrators 加Q3235738406 /add
                    驳回：创建进程：(null)命令行：shutdown -s -f -t 2
                    执行函数：打开 文件:\\.\\physicaldrive0
                    Binary Hooker--> string (c398b3bacf255f903e5b28ffea60f869) string (b5a349162213626b73c25cf478c6a7a6)
                    执行函数：打开 文件:\\.\\physicaldrive0
                    数据已经Dump：大小 548
                    写文件:476
                    执行函数：打开 文件:\\.\\physicaldrive0
                    数据已经Dump：大小 548
                    写文件:476
                    执行：打开注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
                    执行：设置注册表键值LastKey=\DisableTaskmgr\
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{36FC9E60-C465-11CF-8056-444553540000}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E965-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E969-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96A-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96B-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96F-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E977-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97B-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97D-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E980-E325-11CE-BFC1-08002BE10318}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{71A27CDD-812A-11D0-BEC7-08002BE2092F}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{745A17A0-74D3-11D0-B6FE-00A0C90F57DA}
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AppMgmt
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Base
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Boot Bus Extender
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Boot file system
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\CryptSvc
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\DcomLaunch
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmadmin
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmboot.sys
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmio.sys
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmload.sys
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmserver
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\EventLog
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\File system
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Filter
                    执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\HelpSvc
                    IP属地:江苏10楼2018-04-05 20:56
                    回复
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\LanmanWorkstation
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\LmHosts
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Messenger
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NDIS
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NDIS Wrapper
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Ndisuio
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBIOS
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBIOSGroup
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBT
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEGroup
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Netlogon
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetMan
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Network
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetworkProvider
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NtLmSsp
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PCI Configuration
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PlugPlay
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PNP Filter
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PNP_TDI
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Primary disk
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpcdd.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpdd.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpwd.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdsessmgr
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\RpcSs
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SCSI Class
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\sermouse.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SharedAccess
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\sr.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SRService
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Streams Drivers
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\System Bus Extender
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Tcpip
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TDI
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\tdpipe.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\tdtcp.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\termservice
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\vga.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\vgasave.sys
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WinMgmt
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WZCSVC
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Ndisuio
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
                      执行：打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
                      执行：打开进程：explorer.exe
                      执行：打开进程：explorer.exe
                      执行：打开进程：explorer.exe
                      IP属地:江苏12楼2018-04-05 20:57
                      回复
                        通过这些，我们基本上可以得知：
                        这个锁机软件读取了大量的注册表项，写了MBR，执行了cmd的net user命令
                        IP属地:江苏13楼2018-04-05 20:58
                        回复
                          那么密码到底是什么呢？
                          IP属地:江苏14楼2018-04-05 20:58
                          回复
                            在数据窗口，我们发现了两个512字节的数据，这就是被锁后的MBR和原来的MBR了。
                            IP属地:江苏15楼2018-04-05 21:27
                            回复
                              那么MBR锁的密码就在这个数据里面了如图所示：Y[括号后面的就是MBR锁密码。
                              就是：jizezhou
                              IP属地:江苏16楼2018-04-05 21:30
                              回复

                                扫二维码下载贴吧客户端

                                下载贴吧APP
                                看高清直播、视频！
                                发表回复
                                发贴请遵守贴吧协议及“七条底线”贴吧投诉
                                内  容:
                                  查看全部
                                发 表
                                保存至快速回贴