被钩子劫持2345.com，求助-CSDN论坛

被钩子劫持2345.com，求助

扩充话题 > 灌水乐园

收藏回复

[问题点数：20分，结帖人proof1]

⋅求助：DirectX 8.0 源码报错 ⋅求助：DirectX 8.0 源码调试 ⋅求助：DirectX 8.0 源码报错 更多帖子 关注私信空间博客 proof1 等级 本版专家分：105 结帖率 95.29%: Chrome、Opera浏览器被劫持，变成IE打开2345.com

用XueTr工具：
应用层钩子——进程钩子——右键explorer.exe——检测，找到可疑项：
--------------------------------------------------------------
挂钩对象  [*]len(7) kernel32.dll->CreateProcessW
挂钩位置  0x7C802336->0x0178D0F0
钩子类型  inline
挂钩处当前值  B8 F0 D0 78 01 FF E0
挂钩处原始值  8B FF 55 8B EC 6A 00
---------------------------------------------------------------
右键len(7) kernel32.dll——恢复，这个钩子就没有了（“恢复”是什么意思？），此后到关机，Chrome、Opera浏览器恢复正常。下次开机，故障依旧，钩子又出现。
据说要删除某个dll才行。可是C盘搜索“len(7) kernel32.dll”，没找到。C盘有一个正常的kernel32.dll。
如何找到这个钩子的dll文件？

2016-09-10 19:50:16

点赞只看楼主引用举报楼主收起

展开阅读全文

⋅好久没来了，大家都还好吗？

⋅网上看到一篇文章，讲表空间的好处，感觉不错，总觉得还有很多好处没说，愿大家赐教！

⋅你好，麻烦帮我去掉版主的职位

更多帖子

关注私信空间博客

爱睡觉的阿狸

等级

本版专家分：139592

勋章

签到新秀 累计签到获取，不积跬步，无以至千里，继续坚持！

红花 2016年12月 Java大版内专家分月排行榜第一
2016年9月扩充话题大版内专家分月排行榜第一
2016年5月扩充话题大版内专家分月排行榜第一

黄花 2016年7月扩充话题大版内专家分月排行榜第二

蓝花 2017年1月 Java大版内专家分月排行榜第三
2016年12月扩充话题大版内专家分月排行榜第三
2016年10月扩充话题大版内专家分月排行榜第三
2016年6月扩充话题大版内专家分月排行榜第三: 你可以去技术区问问

2016-09-10 21:41:31

点赞只看TA 引用举报 #1得分 0

⋅【源码】无聊……发份源码：VB6运用【内联汇编代码 + 轻量级COM对象】实现的移位操作 ⋅【源码】VB6中高效的内存访问利器 ⋅遇到两个问题：1是命名管道通讯，客户端连接上了，但写数据“无效句柄”错误；2是用API创建的控件，改变字体颜色和背景颜色起不到作用。 更多帖子 关注私信空间博客 舉杯邀明月 等级 本版专家分：37544 勋章 红花 2019年1月 VB大版内专家分月排行榜第一 2018年12月 VB大版内专家分月排行榜第一 2018年11月 VB大版内专家分月排行榜第一 2018年10月 VB大版内专家分月排行榜第一 2018年7月 VB大版内专家分月排行榜第一 2018年6月 VB大版内专家分月排行榜第一 2018年5月 VB大版内专家分月排行榜第一 2018年4月 VB大版内专家分月排行榜第一 2018年3月 VB大版内专家分月排行榜第一 2018年2月 VB大版内专家分月排行榜第一 2018年1月 VB大版内专家分月排行榜第一 2017年9月 VB大版内专家分月排行榜第一 2017年8月 VB大版内专家分月排行榜第一 2017年7月 VB大版内专家分月排行榜第一 2017年6月 VB大版内专家分月排行榜第一 2017年5月 VB大版内专家分月排行榜第一 2017年4月 VB大版内专家分月排行榜第一 2016年11月 VB大版内专家分月排行榜第一 2016年8月 VB大版内专家分月排行榜第一 2016年7月 VB大版内专家分月排行榜第一 2013年12月 VB大版内专家分月排行榜第一 2013年10月 VB大版内专家分月排行榜第一 2013年9月 VB大版内专家分月排行榜第一 2008年5月 VB大版内专家分月排行榜第一 黄花 2017年12月 VB大版内专家分月排行榜第二 2017年11月 VB大版内专家分月排行榜第二 2017年3月 VB大版内专家分月排行榜第二 2016年12月 VB大版内专家分月排行榜第二 2016年10月 VB大版内专家分月排行榜第二 2013年11月 VB大版内专家分月排行榜第二 蓝花 2019年5月 VB大版内专家分月排行榜第三 2016年3月 VB大版内专家分月排行榜第三 2012年9月 VB大版内专家分月排行榜第三: 那个文件是不是木马程序运行时，临时释放出来的文件，然后用指令加载的？

2016-09-11 00:57:28

点赞只看TA 引用举报 #2得分 0

⋅请问下板块里的机器人怎么办？ ⋅好像不抵制NBA了？可以看球了？ ⋅我刚发错版块了？ 更多帖子 关注私信空间博客 版主 dceacho 等级 本版专家分：2619 勋章 红花 2013年11月硬件/嵌入开发大版内专家分月排行榜第一 黄花 2014年7月硬件/嵌入开发大版内专家分月排行榜第二 蓝花 2013年10月硬件/嵌入开发大版内专家分月排行榜第三 2013年6月硬件/嵌入开发大版内专家分月排行榜第三 2013年3月硬件/嵌入开发大版内专家分月排行榜第三: 不懂这么高深的
我一般都是先检查快捷方式，看后面是不是添加了运行参数，或者它直接删了你的IE快捷方式，放了个他们网站的链接，图标一模一样的
再不行就是搜索注册表了，看到2345.com字样的就删除项
一般都是这两方法解决

2016-09-11 01:14:29

点赞只看TA 引用举报 #3得分 0

⋅kafka 启动报错，严重！！！ ⋅libuv：connection reset by peer ⋅【libevent】多个服务器间通信问题，散分了 更多帖子 关注私信空间博客 鱼弦 等级 本版专家分：2376: 可以用360清理一下试试看

2016-09-11 01:14:42

点赞只看TA 引用举报 #4得分 0

⋅EX_Cj ⋅hbu_pig ⋅其实我是真性情 更多帖子 关注私信空间博客 u012997273 等级 本版专家分：30037: 楼主是搞技术的吗，是的话，教你一招
因为是inline钩子，所以随便用个工具，查看一下钩子替换后的函数，在那个模块里面，就知道是那个模块了，
删除这个模块就OK了

比如，安装一个windbg，attach 浏览器进程，命令lmv 列举出所有模块，看下地址在那个模块内，删除对应的模块
我说的模块，就是浏览器加载的dll

2016-09-11 02:34:19

点赞只看TA 引用举报 #5得分 20

⋅EX_Cj ⋅hbu_pig ⋅其实我是真性情 更多帖子 关注私信空间博客 u012997273 等级 本版专家分：30037: 况且你说明的也有问题，explorer进程，就是桌面进程
如果是explorer内hook了createprocess函数，说明你的系统不仅仅是浏览器被劫持了，桌面也被非法注入了
估计仅仅是删除一个文件，不管用的

当然，你要想手动杀干净，也行的，没有手动杀不了的东西
毕竟是搞技术的，自己手动去杀毒，也蛮有成就感的

2016-09-11 02:38:26

点赞只看TA 引用举报 #6得分 0

⋅好久没来了，遇到个奇怪的Qt信号槽问题，想请教一下，信号第一次触发成功，之后再也不能成功 ⋅公司裁员，被裁了，散分，求推荐工作。 ⋅帮忙看一个安卓的Make脚本问题 更多帖子 关注私信空间博客 能写程序-会种庄稼 等级 本版专家分：9671: 引用 6 楼 u012997273 的回复:
况且你说明的也有问题，explorer进程，就是桌面进程
如果是explorer内hook了createprocess函数，说明你的系统不仅仅是浏览器被劫持了，桌面也被非法注入了
估计仅仅是删除一个文件，不管用的

当然，你要想手动杀干净，也行的，没有手动杀不了的东西
毕竟是搞技术的，自己手动去杀毒，也蛮有成就感的

有理有据

2016-09-11 08:40:32

点赞只看TA 引用举报 #7得分 0

⋅求助：DirectX 8.0 源码报错 ⋅求助：DirectX 8.0 源码调试 ⋅求助：DirectX 8.0 源码报错 更多帖子 关注私信空间博客 proof1 等级 本版专家分：105: 引用 6 楼 u012997273 的回复:
况且你说明的也有问题，explorer进程，就是桌面进程
如果是explorer内hook了createprocess函数，说明你的系统不仅仅是浏览器被劫持了，桌面也被非法注入了
估计仅仅是删除一个文件，不管用的

感谢，明白一点，还没解决。

检测信息：

explorer进程钩子：
http://www.piogame.com/Z/1.txt

explorer.exe进程调用模块：
http://www.piogame.com/Z/3.txt

2016-09-11 09:34:41

点赞只看TA 引用举报 #8得分 0

⋅EX_Cj ⋅hbu_pig ⋅其实我是真性情 更多帖子 关注私信空间博客 u012997273 等级 本版专家分：30037: 引用 8 楼 proof1 的回复:
Quote: 引用 6 楼 u012997273 的回复:

况且你说明的也有问题，explorer进程，就是桌面进程
如果是explorer内hook了createprocess函数，说明你的系统不仅仅是浏览器被劫持了，桌面也被非法注入了
估计仅仅是删除一个文件，不管用的

感谢，明白一点，还没解决。

检测信息：

explorer进程钩子：
http://www.piogame.com/Z/1.txt

explorer.exe进程调用模块：
http://www.piogame.com/Z/3.txt

这个没显示模块呀
不显示模块的原因很多，比如
1、被隐藏了
2、模块加载后，做了该做的事，卸载了

你要是只想看看看看浏览器劫持的话，安装个windbg，断点createprocess，跳到挂钩函数里，uf，看看这个函数都做什么了

你要是想找explorer为什么被非法注入了，结束explorer，通过windbg启动explorer，因为是inline钩子，在createprocess函数的首5自己出，下个写断点，F5，等断下来，通过栈回溯，查找调用源

一步一步，当你最后把问题解决后，你会发现，特别有成就感！
预祝入坑！

2016-09-11 18:02:04

点赞只看TA 引用举报 #9得分 0

⋅EX_Cj ⋅hbu_pig ⋅其实我是真性情 更多帖子 关注私信空间博客 u012997273 等级 本版专家分：30037: 这个没显示模块呀
不显示模块的原因很多，比如
1、被隐藏了
2、模块加载后，做了该做的事，卸载了

你要是只想看看看看浏览器劫持的话，安装个windbg，断点createprocess，跳到挂钩函数里，uf，看看这个函数都做什么了

你要是想找explorer为什么被非法注入了，结束explorer，通过windbg启动explorer，因为是inline钩子，在createprocess函数的首5字节处，下个写断点，F5，等断下来，通过栈回溯，查找调用源

一步一步，当你最后把问题解决后，你会发现，特别有成就感！
预祝入坑！

发完一看，错别字真多

2016-09-11 18:04:08

点赞只看TA 引用举报 #10得分 0

1 2

收起

收藏回复

proof1

等级：

关注私信 TA的帖子

解决 Chrome 主页被 duba 劫持问题——干掉钩子: –type=0，第一次接触这种情况，网上搜索发现该问题叫做网页劫持，比较常见的网页劫持是每次打开 Chrome 都会跳转到 2345 网页，虽然我不是跳转到该页面，但是可以肯定的是有东西被篡改。首先在 Chrome 网址栏输入 ...

浏览器主页劫持，打开就访问889hao，2345导航（已解决）: RT，前几天碰到了台电脑，打开浏览器就劫持访问889hao。系统是win10 x64，浏览器是360安全浏览器、IE浏览器，其他没装不清楚。按以往经验，逐一排查：检查浏览器主页设置，设百度为首页。主页已经是百度，...

如何检查软件是否被钩子软件Hook.: 用 IceSword软件看看，它会检测Hook情况。然后去网上下载名为FileMon的工具，它能够监测到所有的文件查询、读写操作，你在Options菜单中设置Filter为你的文件夹路径.

Vue.js学习笔记（十）--------钩子函数: 每个 Vue 实例在被创建时都要经过一系列的初始化过程——例如，需要设置数据监听、编译模板、将实例挂载到 DOM 并在数据变化时更新 DOM 等。同时在这个过程中也会运行一些叫做生命周期钩子的函数，这给了用户在...

vue-router的全局钩子beforeEach: 在我们浏览网页时，经常遇到当点击某个...在vue官网给出定义为全局钩子，还有一些当我们编辑文本时，如果点击关闭，会先跳出一个提示，让你选择是否关闭，本章在这里只叙述第一种情况。 <!DOCTYPE html> <title>T

架构系列——Runtime.getRuntime().addShutdownHook(Thread thread)钩子程序用途: 当程序正常退出,系统调用 System.exit方法或虚拟机被关闭时才会执行添加的shutdownHook线程。其中shutdownHook是一个已初始化但并不有启动的线程，当jvm关闭的时候，会执行系统中已经设置的所有通过方法...

vue-router中的钩子: 我们知道一个组件从进入到销毁有很多的钩子函数，同样在路由中也设置了钩子函数。路由的钩子选项可以写在路由配置文件中，也可以写在我们的组件模板中。一.路由配置文件中的钩子函数 /src/router/index.js 路由...

RunTime.getRunTime().addShutdownHook 添加钩子: addShutdownHook 钩子程序

vue-router有哪几种导航钩子，导航钩子的作用是什么？: 1.导航钩子的作用 vue-router提供的导航钩子主要用来拦截导航，让它完成跳转或取消。 2.导航钩子的分类全局守卫路由独享守卫局部守卫 3.全局守卫是指路由示例上直接操作的钩子函数，特点是所有路由配置的...

Vue钩子函数之钩子事件hookEvent,监听组件: 在Vue组件中，可以用过$on,$once去监听所有的生命周期钩子函数，如监听组件的updated钩子函数可以写成this.$on('hook:updated', () => {}) 示例:使用hook之前 <template> <div class="echarts"&...

C#键盘钩子之局部钩子和全局钩子: 最近碰巧要使用键盘钩子，于是在网上搜索了一番，发现大多数博客的文章都是雷同的，根本就没有讲清楚全局钩子和局部钩子的区别，于是特开一贴，讲全局钩子和局部钩子捋一捋。也供后面的人学习。应为大部分应用都...

深入JVM关闭与关闭钩子: 通常而言，对于JVM的关闭我们很少去关注，但是了解JVM的关闭能帮我们在JVM关闭时做一些合理的事情。

线程专用钩子和全局钩子的区别: 其实就是全局和局部的区别如果可以用线程Hook实现就最好用线程Hook 因为Hook技术用的不好会大大降低整个Windows系统的性能这也是为什么WinCE不支持HOOK的原因了至于键盘HOOK用SetWindowsHookEx带WH_KEYBOARD参数...

图解Node.js之async_hooks: async_hooks，即异步钩子，是Node 8中一个新的实验性API，能使我们追踪资源（resource）、监视程序变得更加简单。

使用vue-router beforeEach钩子遇到的一些小问题: 一、在进入页面时，判断用户未登录，需要跳转到登录页此时路由代码是这样的： // 全局路由导航拦截 router.beforeEach((to, from, next) => { // ... let token = sessionStorage.getItem('userToken') // ...

CI框架源码解析五之钩子类文件Hooks.php: CI框架可以实现在不修改系统核心文件的基础上来改变或增加系统的核心运行功能...钩子是什么呢？我们可以这样理解：钩子是一种事件驱动模式，它的核心自然是事件（CI框架中pre_system，pre_controller等都是特定

《Windows黑客编程技术详解》之注入技术详解（全局钩子、远线程钩子、突破Session 0注入、APC注入）: 从这篇文章开始，作者将带着...第二篇文章主要介绍4种常见的注入技术，包括全局钩子、远线程钩子、突破SESSION 0隔离的远线程注入、APC注入，案例包括键盘钩子、计算器远线程注入实现、APC注入等，希望对您有所帮助。

SpringBoot2.x入门：使用CommandLineRunner钩子接口: 点击上方蓝字 ↑↑ Throwable文摘关注公众号设置星标，不定时推送高质量原创文章关注SpringBoot2.x入门：使用CommandLineRunner钩子接口前提这篇文章是《S...

在一个软件中添加钩子: 在软件挂一个钩子，当实现该软件用户上传文档到该软件时，如果文档内有不被允许的字符串，则上传失败。我还想学习一下该方面的知识，能有相关的密集传授不啊！联系邮箱xuyongchang11@163.com

js中的钩子机制(hook): 什么是钩子机制？使用钩子机制有什么好处？钩子机制也叫hook机制，或者你可以把它理解成一种匹配机制，就是我们在代码中设置一些钩子，然后程序执行时自动去匹配这些钩子；这样做的好处就是提高了程序的执行效率...

钩子编程（HOOK）安装系统全局钩子 (3): [钩子编程（HOOK）安装系统全局钩子]全局钩子，钩子一词多用于计算机编程中，英文叫hook,指利用api来提前拦截并处理...全局钩子是系统钩子的一种，当指定的一些消息被系统中任何应用程序所处理时，这个钩子就被调用。

vue router路由钩子详解: 导航钩子正如其名，vue-router 提供的导航钩子主要用来拦截导航，让它完成跳转或取消。有多种方式可以在路由导航发生时执行钩子：全局的, 单个路由独享的, 或者组件级的。全局钩子你可以使用 router....

Shell脚本及钩子: 原文地址Shell脚本什么是Shell脚本为什么要用脚本创建一个简单脚本运行脚本 Shell命令的组合运用 Shell的变量 Shell控制语句 ...钩子 webhook githook 客户端的钩子服务端的钩子 Shell脚本什么

HOOK API （一）——HOOK基础+一个鼠标钩子实例: 0x00 起因最近在做毕业设计，有一个功能是需要实现对剪切板的监控和进程的防终止保护。... 0x01什么是HOOK APIHOOK（钩子，挂钩）是一种实现Windows平台下类似于中断的机制[24]。HOOK机制允许应用程序拦截并处理W...

Vue的钩子函数[路由导航守卫、keep-alive、生命周期钩子]详解: 一篇关于vue钩子函数的文章，很实用，也解决了我的很多疑问前言说到Vue的钩子函数，可能很多人只停留在一些很简单常用的钩子(created,mounted)，而且对于里面的区别，什么时候该用什么钩子，并没有仔细的去...

1.python键盘/鼠标hook 全局钩子模块: pyHook3 安装命令 : pip install pyhook3 ...似乎将pyhook支持py3版本的了? 没有太多研究. 缺点: 只支持win平台. 2.keyboard & mouse 安装命令: pip install...

如何解决浏览器被网站劫持: 很多人在重装系统后都遭遇过浏览器被篡改为特定网页的经历，而7654无疑是篡改能力最强大的一种，可以说是一种劫持行为，下面为大家介绍如何彻底清除7654对浏览器的劫持。

钩子原理及实例：实现键盘钩子截获密码: 钩子原理及实例：利用鼠标键盘钩子截获密码钩子原理 ... 钩子能截获系统并得理发送给其它应用程序的消息，能完成一般程序无法完成的功能。Windows系统是建立在事件驱动...钩子的种类很多，每种钩子可以截获并处

Linux下Gogs配置Git钩子服务端部署钩子 hooks: 于是git的hooks钩子就是实现自动化更新的核心技术。准备工作：（Gogs 和 Web服务都安装好） 1、保证Gogs和web站点在同一台服务上。（如果不在同一服务器，只能考虑用web钩子了） 2、 Gogs创建远程仓库 3、 ...

SecureCRT中文破解版: SecureCRT中文破解版欢迎大家下载，非最新版本！！！

相关热词 c# 测试并发 c# 如何提交地址 c#　反射转　原码 c#mvc项目 c# 示例长连接 c# 开发网站 c#通过反射获取类型信息 c# lock 的参数 c# stream 复制 android c#