|
共有评论21条
当前显示最后6条评论
|
| hnxyy |
2006/1/19 14:52:11 |
请教麻兄一个问题：
在ApiHookOn()过程中拦截三个API函数'LoadImageA'，'LoadStringA'，'ShellExecuteA'，其中New_LoadImageA是直接替换红叉为正常锁图标的，New_LoadStringA和New_ShellExecuteA的作用能介绍下吗？
function New_LoadStringA(hInstance: HInst; uID: UInt; lpBuffer: PAnsiChar; nBufferMax: Integer): Integer; stdcall;
begin
if (uID = 2975) then uID := 2974;
Result := Tfn_LoadStringA(g_LoadStringA.OriginProc())(hInstance, uID, lpBuffer, nBufferMax);
end;
function New_ShellExecuteA(hWnd: HWnd; Operation, FileName, Parameters, Directory: PAnsiChar; ShowCmd: Integer): HInst; stdcall;
const
Url_156 = 'http://jump.qq.com/clienturl_156'; // 正常
Url_157 = 'http://jump.qq.com/clienturl_157'; // 失败
begin
if (Pos(Url_157, FileName) > 0) then FileName := Url_156;
if (Pos(Url_157, Parameters) > 0) then Parameters := Url_156;
Result := Tfn_ShellExecuteA(g_ShellExecuteA.OriginProc())(hWnd, Operation, FileName, Parameters, Directory, ShowCmd);
end;
因为我不太明白其中的uID和Url_156，Url_157和如何得来得？
16065和16066这两个图标资料是在LoginCtrl.dll中存放得 |
| liumazi |
2006/1/19 15:33:50 |
请教不敢当,大致是这样的:
2975/2974是LoginCtrl.dll中的字符串资源ID,就是当鼠标停留在安全锁上n秒后,弹出的提示信息..
156/157是当点击上述提示信息时跳转的地址,键盘保护正常的时候打开156,保护失败的时候打开157..
至于如何得来的,主要是监视一些可疑的API的调用,以确定用到了哪些API及其参数.. :) |
| huangx661 |
2006/1/27 0:42:58 |
liumazi,555555555，我是菜鸟，中了你的病毒，我杀不掉，想问下为什么，能不能告诉我点做病毒的诀窍？？
给我留下你的QQ好吗？ |
| iceker |
2006/2/2 23:41:43 |
| 我在win98下没反映啊 |
| wdywmz |
2006/5/25 23:52:08 |
| 麻子兄实在是厉害！！！看来腾讯所谓的键盘加密技术也不过是垃圾了~。。。。。 |
| jzhao |
2006/6/11 10:16:23 |
各位好，我是DELPHI新手。能为我解晰一下程序大概的流程吗，我是不明白 GetModuleFileName(0, @ExeFileName, MAX_PATH); // 当前进程
CurIsQQ := (lStrCmpI(PChar(ExtractFileName(ExeFileName)), 'QQ.Exe') = 0);这段是在什么时候被执行的，这段为什么能发现QQ的进程？烦请各位看懂了的高手指点，如果麻子兄有时间为我解晰一下的话那就更好了！ |
| 我要发表评论 |
查看全部评论 |
![]() |
|
