十五节 逆向病毒分析(实战)

玉面飞龙之王

seg000:004D53B2 loc_4D53B2: ; CODE XREF:
sub_4D5356+34j
seg000:004D53B2 mov eax, ebx
;return ebx
seg000:004D53B4 pop edi
seg000:004D53B5 pop esi
seg000:004D53B6 pop ebx
seg000:004D53B7 pop ecx
seg000:004D53B8 pop ecx
seg000:004D53B9 pop ebp
seg000:004D53BA retn 0Ch
seg000:004D53BA sub_4D5356 endp
现在，函数 sub_4D5356 分析完成了，显然此函数的功能是读取注册表特定的键值，成功返回 1，并将读取到的数据写入参数指定的缓冲区中，失败返回 0。笔者在 idb 文件中将此函数重命名为 CheckReg。下面以一段伪码结束此函数的分析。
DWORD CheckReg( OUT LPBYTE buffer )
{
HANDLE hKey;
DWORD Result ,cbBufSize = 0x106;
Result = RegOpenKeyExA( HKEY_CURRENT_USER,
”Software\Microsoft\Windows\CurrentVersion\Explorer”
,0,KEY_READ,&hKey );
If( Result )return 0;
Result =
! RegQueryValueKeyEx( hKey,”PINF”
,0,NULL,buffer,&cbBufSize );
RegCloseKey( hKey );
return Result;
}
分析函数 sub_004D51AA
seg000:004D51F5 test al, al
seg000:004D51F7 jz short loc_4D5217
;如果 sub_4D5356A 的返回值为 0，则控制传递给 4D5217
seg000:004D51F9 cmp [ebp+var_140], 7
seg000:004D5201 jb short loc_4D5217
;查看一下 IDA 对 v_140 的类型描述，为 word 型。可见，v_140 占用了大小为 0x106 字节的
;缓冲区前两个字节。而且被用作一个无符号数。结合以上的分析，该 0x106 字节的缓冲区
;所代表的数据类型很可能是 REG_BINARY
;如果 v_140 小于 7，则同样跳转到 4D5217。这里的 7 代表什么含义呢？到函数 4D51AA 分
;析完成的时候再对此进行说明。分析函数 sub_004D53BE（调用部分）