昨天解决完“蝗虫军团”HBKern...- trojan.win32.thsys杀不掉了!人！...- 怎么使用RVA获取OffSet

当前位置: 操作系统/服务器>windows

本页文章导读:

▪昨天解决完“蝗虫军团”HBKernel病毒！PS:婚假17天，俺回家结婚喽。[散分],该如何处理昨天解决完“蝗虫军团”HBKernel病毒！PS:婚假17天，俺回家结婚喽。[散分]这个蝗虫病毒很讨厌，网上有解决方法。不妨Goolge一下，解决不了的，可以回帖发问，吼吼，先卖个关子。另外注意.........

▪ trojan.win32.thsys杀不掉了!人！解决办法 trojan.win32.thsys杀不掉了!急人！清理助手和360专杀一起上，只能够找到和修复被替换的系统文件，找不到病毒文件呀！真急人，隔一段时间又会弹出文件保护的对话框：系统文件已经被替换成w.........

▪ 怎么使用RVA获取OffSet 如何使用RVA获取OffSet问个简单的问题, 现用CreateFile()函数打开一个PE文件, 已经获得了IMAGE_IMPORT_DESCRIPTOR 结构, 得到了Name1字段的RVA值, 现想用ReadFile()函数读取文件名, 也就是要获取文件偏移地.........

[1]昨天解决完“蝗虫军团”HBKernel病毒！PS:婚假17天，俺回家结婚喽。[散分],该如何处理

来源: 互联网发布时间: 2014-02-18

昨天解决完“蝗虫军团”HBKernel病毒！PS:婚假17天，俺回家结婚喽。[散分]
这个蝗虫病毒很讨厌，网上有解决方法。不妨Goolge一下，解决不了的，可以回帖发问，吼吼，先卖个关子。
另外注意机器的服务文件是否被替换或者丢失，还有服务在注册中的项是否改变或者被删除。

请了个婚假，17天，响应国家号召，晚婚。
准备回家结婚了，欢迎大家来喝喜酒哦！！！

恭喜恭喜.

LZ 我PC上中了kkc7.exe病毒，你可否见过？
http://topic.csdn.net/u/20100316/11/9b771641-4d8a-4166-bb76-9f250d1dcd49.html?15445

恭喜LZ

它修改注册表的哪些项哦？

恭喜 lz

恭喜LZhttp://forum.csdn.net/PointForum/ui/scripts/csdn/Plugin/003/monkey/46.gif

早生贵子

恭喜

哦，恭喜！

恭喜楼主，我也想结婚了，没对象：（

恭喜，顺便接分。

恭喜恭喜恭喜恭喜

你生的儿子一定胜过bill Gates~~ 开发个比windows牛逼的os

恭喜楼主!!!

恭喜lz哈！！！！

贺喜贺喜！！

我当年也属于晚婚...怎么没17天...555...公平和正义比太阳还光辉...

HOHO，我也来，恭喜恭喜

恭喜楼主早生贵子

呵呵，结婚正好

恭喜恭喜

恭喜！

恭喜，我没见过这个病毒。。

助楼主早生贵子。！！！

对不起，是“祝”

不好意思，我用的是MAC

恭喜LZ

恭喜恭喜。。。。。祝福你

恭喜恭喜
早生贵子.....

恩，看到终于喜结连理的人们都忍不住想要恭喜下，恭喜恭喜

[2] trojan.win32.thsys杀不掉了!人！解决办法

来源: 互联网发布时间: 2014-02-18

trojan.win32.thsys杀不掉了!急人！
清理助手和360专杀一起上，只能够找到和修复被替换的系统文件，找不到病毒文件呀！
真急人，隔一段时间又会弹出文件保护的对话框：系统文件已经被替换成windows无法识别的类型，是否要保留这些文件？
555555，怎么弄呢？有什么好用的工具吗？有中过这毒的网友吗？

1.找一个干净的盘安装360强力杀毒双引擎版。
2。电脑里有木马或病毒干扰，用“360强力杀毒双引擎版”，全盘查杀恶性软件！
3。下载系统急救箱，急救！
4。实在不行，就还原系统或重装系统！

楼上的
360杀毒？能用？

用eset杀吧，32位64位都行。

最直接的方法重新安装系统
装ghost版的，要不了多长时间，总比你杀毒来的快

楼主全盘格式化，并重装系统吧。

[3] 怎么使用RVA获取OffSet

来源: 互联网发布时间: 2014-02-18

如何使用RVA获取OffSet
问个简单的问题, 现用CreateFile()函数打开一个PE文件, 已经获得了IMAGE_IMPORT_DESCRIPTOR 结构, 得到了Name1字段的RVA值, 现想用ReadFile()函数读取文件名, 也就是要获取文件偏移地址, 下面是我写的, 但是不知道为什么数据会读不出来...

代码:
DWORD GetReadStart(DWORD * VirtualAddress)
{
int readnum = 0;
int lasterror = 0;
int OffSize = 0;
OffSize = HeadersSize - fileHeader.NumberOfSections * sizeof(IMAGE_SECTION_HEADER); //HeaderSize是整个文件头的大小
SetFilePointer(hFile, OffSize, NULL, FILE_BEGIN);//将文件指针设置到第一个节表处
for (int i = 1; i <= fileHeader.NumberOfSections; i ++)
{
if (ReadFile(hFile, m_psecHeader, sizeof(IMAGE_SECTION_HEADER), (LPDWORD)&readnum, NULL))
{
if ((*VirtualAddress) >= m_psecHeader->VirtualAddress &&
(*VirtualAddress) < (m_psecHeader->VirtualAddress + m_psecHeader->SizeOfRawData))
return m_psecHeader->PointerToRawData + (*VirtualAddress) - m_psecHeader->VirtualAddress;
}
else
{
MessageBox(GetActiveWindow(), TEXT("Can't read section header"), NULL, MB_OK);
return FALSE;
}
}
MessageBox(GetActiveWindow(), TEXT("Can't find section"), NULL, MB_OK);
return 0;
}

下面是调用该函数
//ImportDescriptor是一个IMAGE_IMPORT_DESCRIPTOR结构.
ReadStart = GetReadStart(&ImportDescriptor.Name);
SetFilePointer(hFile, ReadStart, NULL, FILE_BEGIN);
//len = strlen(szTemp);
if (!ReadFile(hFile, &szTemp[strlen(szTemp)], 20, (LPDWORD)&readnum, NULL))
现ReadFile()函数的返回值为1, 想不明白是咋回事啊
还望哪位大虾赐教下..

ReadFile()函数的返回值为1表明执行成功了呀这里有什么奇怪的吗？readnum才是真正读取到的字节数！
另外GetReadStart()的返回值类型为DWORD ，在其获取偏移失败时你分别返回了FALSE和0，这种写法不规范哦。在调用GetReadStart()函数后，你没有对返回值ReadStart进行判断，就直接调用SetFilePointer()...了，这会导致错误扩散哦，最后ReadFile可能读取到错误的信息。

RVA转换OFFSET貌似用不到IMAGE_IMPORT_DESCRIPTOR吧？跟导入表有关系？