hook代码如下：由于thiscall是由被调用函数清理参数栈，因此将新函数的调用约定为stdcall。这样除了this指针没有通过ecx传递之外，其余的操作与thiscall相同。如果新函数中需要使用this指针（如调用原函数），需要在函数开头push ecx，将this指针保存在栈上。当需要使用时，pop ecx，将this指针传给ecx以模拟thiscall。注意：push ecx之后堆栈会变化，需要自己维护，在函数结束时保持堆栈平衡，编译器优化会将函数调用约定变为__usercall，这种调用约定传参与fastcall一样，但是无论是调用方还是被调用方都没有清理堆栈，程序可能会崩溃。可以禁用优化，不使用这种调用约定
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
爬虫逆向基础之sign加密破解目标网站：aHR0cHM6Ly9zb3VrZS54ZGYuY24vc2VhcmNoP2NpdHlDb2RlPTQ0MDEwMCZjYXRlZ29yeUNvZGU9MTIw网站分析打开F12，找到对应的网页数据，并选择response，查看网页源代码，是否在网页代码中存在目标数据。
很遗憾，并没有发现目标数据，因此这必然是一个动态加载的数据，数据分类属于XHR。
首先清空刚刚的所有包，然后包的分类选择Fetch/XHR，选择后点击页面跳转，自然就会出现图上所框住的两条数据。
数据分析
Query String Parameters指的是查询参数的意思。在上图一共有6个查询参数，分别是：1、appid：未知标识2、cityCode：城市编码（该网站设置的）3、t：时间戳（当前系统的时间，指的是由1970年1月1日开始所经过的秒数）4、PageIndex：页码5、pageSize：一个页面有多少个数据6、categoryCode：课程列别编码
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
很遗憾，并没有发现目标数据，因此这必然是一个动态加载的数据，数据分类属于XHR。
首先清空刚刚的所有包，然后包的分类选择Fetch/XHR，选择后点击页面跳转，自然就会出现图上所框住的两条数据。
数据分析
Query String Parameters指的是查询参数的意思。在上图一共有6个查询参数，分别是：1、appid：未知标识2、cityCode：城市编码（该网站设置的）3、t：时间戳（当前系统的时间，指的是由1970年1月1日开始所经过的秒数）4、PageIndex：页码5、pageSize：一个页面有多少个数据6、categoryCode：课程列别编码
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在请求头的位置出现了Sign值，意味着在对目标发起请求时需要携带Sign值去访问。但是经过测试sign值是不断变换的，我们可以来做一次测试。这里给大家介绍一个网站，可以自动生成代码https://curlconverter.com/操作步骤：1、选择目标数据接口——>右键——>copy——>copy all as cURL2、将复制的内容粘贴到目标网站即可。import requests
​
headers = {
'Accept': '*/*',
'Accept-Language': 'zh-CN,zh;q=0.9,en;q=0.8',
'Cache-Control': 'no-cache',
'Connection': 'keep-alive',
'Content-Type': 'application/json',
'Origin': 'https://souke.xdf.cn',
'Pragma': 'no-cache',
'Referer': 'https://souke.xdf.cn/search?cityCode=440100&categoryCode=120',
'Sec-Fetch-Dest': 'empty',
'Sec-Fetch-Mode': 'cors',
'Sec-Fetch-Site': 'same-site',
'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36',
'sec-ch-ua': '"Not_A Brand";v="8", "Chromium";v="120", "Google Chrome";v="120"',
'sec-ch-ua-mobile': '?0',
'sec-ch-ua-platform': '"Windows"',
'sign': '9790abf162133a24a9318d33b9957410',
点击Initiator，并未发现下面的函数有0x开头的值，因此并不存在代码的混淆。那就好办了。断点测试向这类没有混淆的代码，我们可以直接通过断点url的路径。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
​
headers = {
'Accept': '*/*',
'Accept-Language': 'zh-CN,zh;q=0.9,en;q=0.8',
'Cache-Control': 'no-cache',
'Connection': 'keep-alive',
'Content-Type': 'application/json',
'Origin': 'https://souke.xdf.cn',
'Pragma': 'no-cache',
'Referer': 'https://souke.xdf.cn/search?cityCode=440100&categoryCode=120',
'Sec-Fetch-Dest': 'empty',
'Sec-Fetch-Mode': 'cors',
'Sec-Fetch-Site': 'same-site',
'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36',
'sec-ch-ua': '"Not_A Brand";v="8", "Chromium";v="120", "Google Chrome";v="120"',
'sec-ch-ua-mobile': '?0',
'sec-ch-ua-platform': '"Windows"',
'sign': '9790abf162133a24a9318d33b9957410',
点击Initiator，并未发现下面的函数有0x开头的值，因此并不存在代码的混淆。那就好办了。断点测试向这类没有混淆的代码，我们可以直接通过断点url的路径。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
进来ve函数后，打上断点.得到这个ve这个函数就是生成sign值的部分它是由t和Ke.b拼接而成的加密数据
原数据：appId=5053&cityCode=440100&t=1703572500623&pageIndex=4&pageSize=12&categoryCode=120&order=0750F82C2-D8F6-49F6-878C-1E7EBEBC8DA2那它是怎么样转换成加密的呢？它的加密逻辑是什么？这里大家如果对js比较熟悉就不难发现这个是属于MD5加密。当然不熟也没有关系，大部分网站对sign值的加密都是MD5。那我们找个在线的MD5加密网站测试一下。
与刚刚输出的结果一致。编写js代码// 需要在当前目录安装crypto-js
const CryptoJs = require('crypto-js')
t = (new Date).getTime()
encrypt1 = CryptoJs.MD5('appId=5053&cityCode=440100&t=1703572500623&pageIndex=4&pageSize=12&categoryCode=120&order=0750F82C2-D8F6-49F6-878C-1E7EBEBC8DA2').toString()
console.log(encrypt1)输出结果：16eb08631842bcb315ca7fc8ac164eae需要配置node，具体过程自行查找，另外vscode需要安装run code插件。最后在项目文件夹安装crypto-jsnpm install crypto-js使用python执行js代码pip install pyexecjs
pip install pyexecjs2首先安装第二版本的pyexecjs，现在网上你能找到的大部分教程都是以1版本为主，但是那个已经不再维护了。import execjs
with open('dome1.js', 'r', encoding='utf-8') as f:
js = f.read()
ctx = execjs.compile(js)
sign = ctx.call('get_sign')
print(sign)运行结果16eb08631842bcb315ca7fc8ac164eae代码优化
优化js代码|
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
原数据：appId=5053&cityCode=440100&t=1703572500623&pageIndex=4&pageSize=12&categoryCode=120&order=0750F82C2-D8F6-49F6-878C-1E7EBEBC8DA2那它是怎么样转换成加密的呢？它的加密逻辑是什么？这里大家如果对js比较熟悉就不难发现这个是属于MD5加密。当然不熟也没有关系，大部分网站对sign值的加密都是MD5。那我们找个在线的MD5加密网站测试一下。
与刚刚输出的结果一致。编写js代码// 需要在当前目录安装crypto-js
const CryptoJs = require('crypto-js')
t = (new Date).getTime()
encrypt1 = CryptoJs.MD5('appId=5053&cityCode=440100&t=1703572500623&pageIndex=4&pageSize=12&categoryCode=120&order=0750F82C2-D8F6-49F6-878C-1E7EBEBC8DA2').toString()
console.log(encrypt1)输出结果：16eb08631842bcb315ca7fc8ac164eae需要配置node，具体过程自行查找，另外vscode需要安装run code插件。最后在项目文件夹安装crypto-jsnpm install crypto-js使用python执行js代码pip install pyexecjs
pip install pyexecjs2首先安装第二版本的pyexecjs，现在网上你能找到的大部分教程都是以1版本为主，但是那个已经不再维护了。import execjs
with open('dome1.js', 'r', encoding='utf-8') as f:
js = f.read()
ctx = execjs.compile(js)
sign = ctx.call('get_sign')
print(sign)运行结果16eb08631842bcb315ca7fc8ac164eae代码优化
优化js代码|
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
Korplug 后门模块
Korplug 后门模块的执行分为以下阶段：
· 初始化阶段：提升权限和获取启动配置。
· 持久化阶段：创建服务或创建注册表形成自启。
· 注入阶段：创建两个分别附带参数 201 与 209 的 svchost.exe 进程，并向其注入后门模块。这两个进程都具备执行后门功能的能力。其中，附带 209 的进程会通过附带 201 的进程接收远程指令，进而执行后门功能。
· 控制功能：发送计算机信息、开启后门、自清理、接收和发送启动信息等功能。
· 后门功能：实现文件管理、注册表管理、进程管理等系统管理功能和 SQL 、网络、剪贴板管理等其他功能。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
Korplug 后门模块的执行分为以下阶段：
· 初始化阶段：提升权限和获取启动配置。
· 持久化阶段：创建服务或创建注册表形成自启。
· 注入阶段：创建两个分别附带参数 201 与 209 的 svchost.exe 进程，并向其注入后门模块。这两个进程都具备执行后门功能的能力。其中，附带 209 的进程会通过附带 201 的进程接收远程指令，进而执行后门功能。
· 控制功能：发送计算机信息、开启后门、自清理、接收和发送启动信息等功能。
· 后门功能：实现文件管理、注册表管理、进程管理等系统管理功能和 SQL 、网络、剪贴板管理等其他功能。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
使用压缩包内携带的Python解释器执行同目录下的python.py
恶意软件的核心组件就是该python.py，我们对其进行分析。
进入python.py后，我们发现代码可能经过了混淆或最小化处理，无法直接进行阅读
将代码字符转换为了列表中的数字，将列表存储进xlicesvaoy变量中，执行时再通过以下代码还原出原先的代码并执行
代码中的常量，如图所示（木马后续的代码逻辑可能会见到，因此先进行展示
进入代码后，首先最令人难忘的是一堆brouwser_paths.
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
恶意软件的核心组件就是该python.py，我们对其进行分析。
进入python.py后，我们发现代码可能经过了混淆或最小化处理，无法直接进行阅读
将代码字符转换为了列表中的数字，将列表存储进xlicesvaoy变量中，执行时再通过以下代码还原出原先的代码并执行
代码中的常量，如图所示（木马后续的代码逻辑可能会见到，因此先进行展示
进入代码后，首先最令人难忘的是一堆brouwser_paths.
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke