【文章标题】: 某网络嗅探类软件去广告分析
【文章作者】: goodcode
【软件名称】: xxxx
【下载地址】: 自己搜索下载
【加壳方式】: 无壳
【编写语言】: delphi 7
【使用工具】: dede+od
【操作平台】: winxpsp2
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【软件介绍】
xxxx是一款使用WinPcap开发包的嗅探器，经过数据包的智能分析过滤，快速找到你所需要的网络信息。
软件智能化程度高,使用方便快捷。
【详细过程】
首先用Peid查壳, 程序并没有加壳是delphi编写得.
用dede打开程序并分析, 分析得过程中我们就要猜测广告是通过什么方式被设置或下载得.
分析完成后我们首先来看看主窗体中得窗体资源很快可以发现用来播放广告得组件是TWBS1.
代码如下:
object pnl3: TPanel
Left = 244
Top = 0
Width = 470
Height = 60
Color = clWhite
TabOrder = 0
object TWBS1: TWebBrowser
Left = -11
Top = -17
Width = 580
Height = 193
TabOrder = 0
ControlData = {
4C000000F23B0000F21300000000000000000000000000000000000000000000
000000004C000000000000000000000001000000E0D057007335CF11AE690800
2B2E126208000000000000004C0000000114020000000000C000000000000046
8000000000000000000000000000000000000000000000000000000000000000
00000000000000000100000000000000000000000000000000000000}
end
end
懂delphi得朋友可能很快就会想到这个组件通常是通过Navigate或Navigate2来设置url来显示网页的.
如 procedure Navigate(const URL: WideString); overload;
我们猜测Navigate可能是在主窗体的OnCreate或者某个TTimer组件的OnTimer中调用所以来到dede中
选择过程页,接着选择Unit1既主窗体的单元找到FormCreate过程对应与OnCreate事件.
代码如下:
00505F34 55 push ebp
00505F35 8BEC mov ebp, esp
00505F37 6A00 push $00
00505F39 6A00 push $00
00505F3B 6A00 push $00
00505F3D 53 push ebx
00505F3E 56 push esi
00505F3F 8BD8 mov ebx, eax
00505F41 33C0 xor eax, eax
00505F43 55 push ebp
* Possible String Reference to: ';閗囡 |
