网马解密每日一练（五） - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛综合娱乐区 活动专区 实习生专区 实习生交流区网马解密每日一练（五）

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第五十次通过VB100测评		请移步新论坛反馈问题或参与讨论		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

12 3

1 / 3 页

跳转页

[练习] 网马解密每日一练（五）

本主题由版主狮子座小皮于 2010-3-3 9:15:07 执行关闭主题/取消操作

networkedition 社区嘉宾帖子:36698 注册: 2008-02-28 来自:	发表于： 2010-03-02 14:13 \| 只看楼主短消息资料字号：小中大 1楼网马解密每日一练（五）引用: 要分析的链接地址：http://s33.idc.xpli.cn/ms/mm.htm 要求：将解密重要过程截图上传，并附最终解密日志，跟帖回复即可，并设置隐藏[hide][/hide]，附件（图）设置权限为255 解密工具：freshow、redoce、在线解密：http://issmall.isgreat.org/等。注意事项：1、禁止使用md的自动解密功能。如发现一次使用md自动解密工具，直接踢出实习生学习组 2、使用解密工具解密时，如遇安全软件拦截，请暂时关闭监控即可 3、最终的网马地址一定要禁用url。用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)
networkedition 社区嘉宾帖子:36698 注册: 2008-02-28 来自:	分享到：

DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:	发表于： 2010-03-02 14:28 \| 短消息资料字号：小中大 2楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件附件: 您所在的用户组无法下载或查看附件
DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:

念初强壮不惑狮帖子:1021 注册: 2005-07-03 来自:病毒大染缸	发表于： 2010-03-02 14:38 \| 短消息资料字号：小中大 3楼回复: 网马解密每日一练（五）附件: 您所在的用户组无法下载或查看附件附件: 您所在的用户组无法下载或查看附件附件: 您所在的用户组无法下载或查看附件附件: 您所在的用户组无法下载或查看附件 *** 该内容需回复才可浏览 *** 念初最后编辑于 2010-03-02 14:46:34 感染不是你的错不能修复就是你的不对了遇到问题请附截图和sreng日志
念初强壮不惑狮帖子:1021 注册: 2005-07-03 来自:病毒大染缸

梅罗自信弱冠狮帖子:430 注册: 2010-01-18 来自:永烁星光之地	发表于： 2010-03-02 14:53 \| 短消息资料字号：小中大 4楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件天地间那一抹不灭的流光即我
梅罗自信弱冠狮帖子:430 注册: 2010-01-18 来自:永烁星光之地

小棉花ZY 自信弱冠狮帖子:347 注册: 2010-01-21 来自:	发表于： 2010-03-02 15:13 \| 短消息资料字号：小中大 5楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件
小棉花ZY 自信弱冠狮帖子:347 注册: 2010-01-21 来自:

完颜无泪快乐黄口狮帖子:195 注册: 2010-01-02 来自:	发表于： 2010-03-02 15:21 \| 短消息资料字号：小中大 6楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 引用: 日志格式不对，木马地址要在日志里体现呀，参考练习题的答案格式。附件: 您所在的用户组无法下载或查看附件完颜无泪最后编辑于 2010-03-02 17:07:34
完颜无泪快乐黄口狮帖子:195 注册: 2010-01-02 来自:

hqvip 自信弱冠狮帖子:389 注册: 2009-09-17 来自:仙源	发表于： 2010-03-02 15:21 \| 短消息资料字号：小中大 7楼回复：网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件 hqvip 最后编辑于 2010-03-02 15:34:49
hqvip 自信弱冠狮帖子:389 注册: 2009-09-17 来自:仙源

漂流使者初生襁褓狮帖子:50 注册: 2010-01-25 来自:	发表于： 2010-03-02 16:45 \| 短消息资料字号：小中大 8楼回复: 网马解密每日一练（五） [hide] 通过freshow获得网页源代码分析源代码 1.在代码中发现有document.write特征，内有地址，但地址格式混乱，一次ESC后在document.write框内发现连接,之后未发现其他网马特征附件: 您所在的用户组无法下载或查看附件 2.点击Filter 一共收集到4个连接（包括上面那个http://s33.idc.xpli.cn:8088/ms/014.js），其中第一个为本网页连接，可以忽略，逐个分析其他三个连接附件: 您所在的用户组无法下载或查看附件 3.分析http://s33.idc.xpli.cn:8088/ms/014.js check后直接在上操作区域发现网马地址：http://s33.idc.xpli.cn:8088/ms/014.exe（本人还将此代码ESC了一次，但未发现异常）附件: 您所在的用户组无法下载或查看附件 4.分析http://s33.idc.xpli.cn:8088/ms/of.htm 未发现异常，点击Filter后在收集区域又出现两个连接：逐个进行分析。附件: 您所在的用户组无法下载或查看附件（1）分析/of1.htm后未发现异常（2）分析/of.htm后发现shellcode特征，由于已改未%u模式ESC两次后发现网马地址：附件: 您所在的用户组无法下载或查看附件 5.分析/ms/go.jpg后发现shellcode特征，由于已改未%u模式两次ESC后得到网马地址：附件: 您所在的用户组无法下载或查看附件 Log is generated by FreShow. [wide]http://s33.idc.xpli.cn/ms/mm.htm [script]http://s33.idc.xpli.cn:8088/ms/014.js [object]http://s33.idc.xpli.cn:8088/ms/014.exe [frame]http://s33.idc.xpli.cn:8088/ms/of.htm [script]http://s33.idc.xpli.cn:8088/ms/of.js [object]http://s33.idc.xpli.cn:8088/ms/ofe.css [script]http://s33.idc.xpli.cn:8088/ms/of1.css [script]http://s33.idc.xpli.cn:8088/ms/go.jpg [object]http://s33.idc.xpli.cn:8088/ms/mpg.exe [/hide] 漂流使者最后编辑于 2010-03-02 16:50:20
漂流使者初生襁褓狮帖子:50 注册: 2010-01-25 来自:

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-03-02 17:40 \| 短消息资料字号：小中大 9楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件 jks_风最后编辑于 2010-03-02 17:56:17
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China

暗夜的雪飘泊而立狮帖子:638 注册: 2009-12-24 来自:娘胎	发表于： 2010-03-02 17:49 \| 短消息资料字号：小中大 10楼回复: 网马解密每日一练（五） *** 该内容需回复才可浏览 *** 附件: 您所在的用户组无法下载或查看附件附件: 您所在的用户组无法下载或查看附件网马比较简单，都是两次ESC就能得出的。我猜测这个ofe.css改成ofe.exe就能运行的马~ 还有一个教训啊！！！！不是所有网马都加过密的~~ 暗夜的雪最后编辑于 2010-03-02 17:55:31 娱乐致死还是娱乐至死啊？
暗夜的雪飘泊而立狮帖子:638 注册: 2009-12-24 来自:娘胎

<<上一主题|下一主题>>

12 3

1 / 3 页

跳转页

页面顶部

Powered by Discuz!NT