u011636170的专栏

最近在完善样本检测工具，分析了很多VT 上0158的样本，漏洞很简单，先说一说遇到的比较奇特的样本1office ppt和XLS都存在彩蛋，存在默认密码 XLS 默认密码是 VelvetSweatshop PPT 的默认密码是 /01Hannes Ruescher/01 这种情况静态检测工具基本没有办法，从VT上看整个免杀的效果也是非常好的2 双漏洞结

0 基本操纵 前面的路径可以随便，后面的网址是微软的符号服务器的地址 SRV*D:\localsymbols*http://msdl.microsoft.com/download/symbols r 用来显示当前的寄存器值 g 是恢复执行 g 地址 是执行到指定的地址 1 进程切换 !wow64exts.sw 用这个命令可以实现32位和64位的来回切换 2 模块操作