|
【工具简介】 PCHunter，又名：XueTr 。PC Hunter是一个Windows系统信息查看软件，功能非常齐全比且应用权限很高。支持2000~win8.1的所有32位操作系统，还支持64位的Win7、Win8和Win8.1系统 【使用范围】 排查应用程序故障问题（某某程序报错）、控制某某程序、删减当前加载的驱动、注册表管理等等 【工具界面】 
【应用案例】
使用f1浏览器浏览网页随机出现崩溃，崩溃现象如下：
目前，f1浏览器每天崩溃率稳定控制0.03%之内，代码自身bug导致的崩溃几率很小；如果某段时间某些地区集中反馈f1崩溃，极大可能是别的软件恶意针对f1搞破坏。
使用PCHunter可详细查看f1浏览器进程是否被注入。
第一步：网吧客户机上双击exe文件，32、64位系统，分别使用对应版本：
第二步：双击打开f1浏览器
第三步：PCHunter工具，点击“进程钩子”，对进程名进行排序，找到f1browser.exe（f1浏览器是多进程架构，可看到有多个f1browser.exe）；
选择任意一个f1browser.exe，右键->点击"检测"，检测完成后，可看到所有在f1browser.exe里干活的dll。
其中，位置在f1浏览器或f1浏览器特别版目录下的dll是浏览器自身正使用的dll；除此之外的dll，是其他程序注入所为，如下图的metnum12.dll和ssmon12.dll：
第四步：打开注入f1进程dll所在目录，看到还有一个ssp.exe：
将metnu.dll和ssmo.dll重命名；
关闭所有f1浏览器窗口，重新打开。再次查看PCHunter里的“进程钩子”，metnu.dll和ssmo.dll没再加载。
【工作原理】
客户机开机，计费或安全软件就在c:\program files目录下随机生成一个文件夹（已发现的文件夹名有ildxvq、hyrkpjnqu），内三个文件是固定的：
ssp.exe、ssmon.dll和netmun.dll。
在只要运行f1浏览器，ssp.exe会捕获并且将ssmon.dll和netmun.dll注入到f1进程。
|
