灰鸽子木马来源追踪
004A052B . E8 C044F6FF CALL 004049F0
004A0530 . 33C0 XOR EAX,EAX
004A0532 . 55 PUSH EBP
004A0533 . 68 65054A00 PUSH 004A0565
004A0538 . 64:FF30 PUSH DWORD PTR FS:[EAX]
004A053B . 64:8920 MOV DWORD PTR FS:[EAX],ESP
004A053E . 8D4D C8 LEA ECX,DWORD PTR SS:[EBP-38]
004A0541 . BA 07000000 MOV EDX,7
004A0546 . 8B45 F8 MOV EAX,DWORD PTR SS:[EBP-8]
004A0549 . 8B18 MOV EBX,DWORD PTR DS:[EAX]
004A054B . FF53 0C CALL DWORD PTR DS:[EBX+C] ; message.004178FC
004A054E . 8B45 C8 MOV EAX,DWORD PTR SS:[EBP-38] ; 取出端口
004A0551 . E8 CE8BF6FF CALL <StrtoInt>
004A0556 . A3 D0BE4A00 MOV DWORD PTR DS:[4ABED0],EAX
004A055B . 33C0 XOR EAX,EAX
004A055D . 5A POP EDX ; 0013FEF8
004A055E . 59 POP ECX ; 0013FEF8
004A055F . 59 POP ECX ; 0013FEF8
004A0560 . 64:8910 MOV DWORD PTR FS:[EAX],EDX
004A0563 . EB 14 JMP SHORT 004A0579
004A0565 .^ E9 E23AF6FF JMP 0040404C
004A056A . C705 D0BE4A00>MOV DWORD PTR DS:[4ABED0],1F40
004A0574 . E8 3B3EF6FF CALL 004043B4
004A0579 > 8D4D C4 LEA ECX,DWORD PTR SS:[EBP-3C]
004A057C . BA 08000000 MOV EDX,8
004A0581 . 8B45 F8 MOV EAX,DWORD PTR SS:[EBP-8]
004A0584 . 8B18 MOV EBX,DWORD PTR DS:[EAX]
004A0586 . FF53 0C CALL DWORD PTR DS:[EBX+C] ; message.004178FC
004A0589 . 8B45 C4 MOV EAX,DWORD PTR SS:[EBP-3C]
004A058C . BA B0084A00 MOV EDX,004A08B0
004A0591 . E8 1248F6FF CALL 00404DA8
004A0596 . 75 07 JNZ SHORT 004A059F ; 判断相关标志
004A0598 . C605 3CBF4A00>MOV BYTE PTR DS:[4ABF3C],1
004A059F > 8D4D C0 LEA ECX,DWORD PTR SS:[EBP-40]
……(省略N行代码)
到这里我们就可以获取出放木马者的基本信息了，我这个木马作者配置文件的相关信息如下：
***********************************************************************************
Config
10395
softck.oicp.net
8b4ca58172880bbb
$(ProgramFiles)\message\message.exe
83
服装纺织
服装纺织
8000
0
1
0
1
1
1
1
COM+ Server
COM+ Server
