Safe mode running

Safe mode running 19.02.2005. u 15:47 · pre 264 meseca #1

Na koji nacin da napravim pokretanje worm-a u safe modu, probao sam preko nekih kljuceva u registry-u ali ne ide...
Krajnja solucija je da iskljucim WFP i da zamenim neki od bitnih fajlova koji se izvrsavaju i u safe modu...

bezvezno pitanje 19.02.2005. u 17:17 · pre 264 meseca #2

Nadam se da ti niko nece odgovoriti.

Re: Safe mode running 19.02.2005. u 18:11 · pre 264 meseca #3

I neko ce mozda iskoristiti tvoj kod da napravi neko izmenjeno g**** koje nece prepoznati av-ovi itd...

Re: Safe mode running 19.02.2005. u 23:10 · pre 264 meseca #4

Prouči malo ključeve ispod HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot

Ako viri instaliraš kao servis, možeš dodati entry u Minimal ili Network ključeve.
Eksperimentiraj malo, ne da mi se sada ulaziti u detalje.

Potpis

Toxiclab.org - webmasters community

Re: Safe mode running 20.02.2005. u 00:27 · pre 264 meseca #5

Citat:

Goran Mijailovic: I neko ce mozda iskoristiti tvoj kod da napravi neko izmenjeno g**** koje nece prepoznati av-ovi itd...

Previše čitaš Kasperskyeve demagogije. Situacija je potpuno suprotna.

@Marko: Zamijeni u registriju sve reference u kojima se explorer.exe koristi kao shell sa imenom tvog crva ili explorer.exe crv.exe. Pogledaj i userinit.exe koji je zaslužan za pokretanje explorera i logon skripti. Ne bih ti savjetovao instaliranje kao win32 servis jer će to svaki inteligentniji admin skužiti.

Re: Safe mode running 20.02.2005. u 01:21 · pre 264 meseca #6

Servise zaboravimo...

Citat:

Pogledaj i userinit.exe koji je zaslužan za pokretanje explorera i logon skripti.

Tacno tako. Zamenio sam HKLM\SOFTWARE\Windows NT\CurrentVersion\Winlogon\[UserInit] string, ali ne radi, majku mu, a gotovo sam siguran da je pre 2-3 dana radilo...

Postoji li neki manje poznati nacin osim menjanja putanje do shell-a ?

Inace, worm ce pokretati jedan mali dll pisan u asm-u, znaci u registryu ide otprilike ovako rundll32.exe ime_dlla.dll,procedura

Re: Safe mode running 20.02.2005. u 01:55 · pre 264 meseca #7

Mislim da bi trebalo raditi, sigurno si nešto sjebao :>

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell

što bi bilo kad bismo cmd.exe promijenili u cmd.exe crv.exe? :)

Re: Safe mode running 20.02.2005. u 02:03 · pre 264 meseca #8

A što je sa HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost ?

Re: Safe mode running 20.02.2005. u 02:06 · pre 264 meseca #9

Baš mi ide nešto većeras, evo upcah još jednog:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute

U mene ima vrijednost "autocheck autochk *"

Problem je što se autochk izvodi pod nativnim subsystemom. Imaš jedan Rusinovičev primjer kako podesiti Visual Studio da ti kompajlira pod nativnim subsystemom (moraš koristiti samo Nt* API-je :)

Re: Safe mode running 20.02.2005. u 02:09 · pre 264 meseca #10

Ma sta sam mogao da sjebem, cak sam i zamenio onaj windowsov rundll32.exe sa programcicem koji ce zapisati u fajlu sve parametre sa kojim se poziva i onda izvrsiti pravi rundll32 i nema nijednog jedinog parametra ???!

Sad cu da probam sa donjim kljucem.

Re: Safe mode running 20.02.2005. u 02:18 · pre 264 meseca #11

HKEY_LOCAL_MACHINE\SYSTEM\Setup

SystemSetupInProgress postavi na 1

CmdLine -> ime crva

PS: Nisam probao :>

Ovo je još sesija brainstorminga... :)))

Re: Safe mode running 20.02.2005. u 02:25 · pre 264 meseca #12

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\VmApplet

Mada treba otkriti kako natjerati winlogon da potjera ovaj control panel applet :)))

Re: Safe mode running 20.02.2005. u 02:29 · pre 264 meseca #13

Aj molim te dodji na ICQ ako mozes na casak, brze cemo naci resenje tako ;) ?

Re: Safe mode running 20.02.2005. u 04:26 · pre 264 meseca #14

Citat:

Sundance: Previše čitaš Kasperskyeve demagogije.

Nikada u zivotu nisam procitao nista od tog pisca :p
Naime radi se o zdravom razumu ;)

Citat:

Sundance: Situacija je potpuno suprotna.

Da znam :p vi ste dobri momci koji pomazu da softver bude bolji tako sto otkrivate rupe u istom i pisete neke dobre viruse koji nikome nece uciniti nista nazao jer ce te ih vi vec poslati av kompanijama na analizu :p

Re: Safe mode running 20.02.2005. u 19:47 · pre 264 meseca #15

Ok, ok nisam ja policija.

Re: Safe mode running 21.02.2005. u 21:36 · pre 264 meseca #16

I na koji način ga pokrećeš?

Inače nisam ciljao na obične servise, već driver servise (njih ne vidiš u services appletu), a par puta mi se dogodilo da su me win admini čudno pogledali kada sam ih pitao za driver servise pri riješavanju nekih problema (što znači da ih nema baš puno "inteligentnih" :-)).

Potpis

Toxiclab.org - webmasters community

Re: Safe mode running 21.02.2005. u 21:53 · pre 264 meseca #17

Jedna nova metoda...razradismo je na pvt...detalji u pH #2 :>

PS: Uopće se ima trojana/crva ne stavlja u registry :>>>

Forum kao aplikacija na telefonu

Srodne teme