瑞星卡卡安全论坛技术交流区恶意网站交流 网马解密大讲堂——网马解密高级篇(SWF解密)

12   1  /  2  页   跳转页

网马解密大讲堂——网马解密高级篇(SWF解密)

收藏
本主题由 版主 networkedition 于 2009-8-5 9:55:46 执行 主题置顶/取消 操作
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:19 | 显示全部 短消息 资料
字号： 小 中 大 1楼

网马解密大讲堂——网马解密高级篇(SWF解密)

卡卡讲堂之网马解密 初级篇
卡卡讲堂之网马解密 中级篇
卡卡讲堂之网马解密 高级篇(swf网马解密)
卡卡讲堂之网马解密 高级篇(pdf网马解密)
1.Freshow解密工具的详细用法；
2.网马解密之——Eval篇；
3.网马解密之——Document.write篇；
4.网马解密之——Alpha2篇；
5.网马解密之——Shellcode篇；
6.网马解密之——Base64篇；
7.网马解密之——US-ASCII篇；
8.浅谈eval解密之——工具篇




引用:
一、Flash网马简介 ：

        flash网马是利用Adobe Flash Player播放器严重安全漏洞， 攻击者可以通过精心设计的特殊SWF文件实施攻击。浏览这些特殊构造的SWF文件，会运行攻击者设定的任意代码。



引用:
二、Flash网马解密方法：
       
        今天我们主要来讲解如何利用(HTMLDecoder)工具，对flash网马进行解密。此工具由小祥大牛开发的一款自动网马解密工具，内附有flash网马解密功能，在这里宣传一下小祥大牛哈。工具下载见附件，本次讲解不提供具体的swf文件下载，防止一些网友不明，胡乱运行导致系统中毒。主要讲解对于flash网马如何解密的方法


用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)

附件附件:

文件名:decoder.rar
下载次数:3046
文件类型:application/octet-stream
文件大小:
上传时间:2009-5-21 10:22:19
描述:rar

最后编辑networkedition 最后编辑于 2009-05-21 14:54:02
分享到：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:29 | 显示全部 短消息 资料
字号： 小 中 大 2楼

回复: 网马解密大讲堂——网马解密高级篇(SWF解密)

好接下来我们讲解如何使用HTMLDecoder工具，进行flash网马解密，详见截图：

 

在这里主要讲解如何利用这个工具，来解密swf网马，此工具其它使用方法，会在今后的网马教学中进行讲解。
最后编辑networkedition 最后编辑于 2009-05-21 13:18:03
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:30 | 显示全部 短消息 资料
字号： 小 中 大 3楼

回复：网马解密大讲堂——网马解密高级篇(SWF解密)

上述截图中红色框标出内容为在解密swf网马时，需要选择的相应的A>PDF/CWS/Zlib Extractor解密选项。在后面的pdf网马解密也是选择此项。




点击开始按钮弹出上述截图页面，此工具包含swf和pdf解密功能，简单介绍一下使用方法，点击浏览按钮找到要解密的swf或pdf文件，在输入文件类型选择相应的文件类型，默认为pdf，根据文件类型的不同，相应的加载或解压按钮也不相同，点击加载按钮，程序会自动结构拆分、找到其中的数据流，点击解压按钮后，解压数据浏览即会显示出网马下载地址。
最后编辑networkedition 最后编辑于 2009-05-21 11:21:13
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:30 | 显示全部 短消息 资料
字号： 小 中 大 4楼

回复：网马解密大讲堂——网马解密高级篇(SWF解密)



定位到要解密的swf网马
最后编辑networkedition 最后编辑于 2009-05-21 10:54:27
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:47 | 显示全部 短消息 资料
字号： 小 中 大 5楼

回复：网马解密大讲堂——网马解密高级篇(SWF解密)



在这里要注意两个细节：首先要选择输入文件类型为swf，因为要解密的是swf网马，选择此项后，默认的加载（pdf）按钮会变为解压(cws)，这时我们点击解压(cws)按钮即可。
最后编辑networkedition 最后编辑于 2009-05-21 11:15:50
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-05-21 10:55 | 显示全部 短消息 资料
字号： 小 中 大 6楼

回复：网马解密大讲堂——网马解密高级篇(SWF解密)



最终的解密结果在解压数据预览里显示，详见上图。
最后编辑networkedition 最后编辑于 2009-05-21 11:23:22
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-03 09:17 | 显示全部 短消息 资料
字号： 小 中 大 7楼

回复 19F 零度的穷浪漫 的帖子

什么工具不能用
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-03 09:33 | 显示全部 短消息 资料
字号： 小 中 大 8楼

回复 21F 零度的穷浪漫 的帖子

什么操作系统？xp、vista都应该没有问题。这个地址：http://www.chenoe.com/updatesrv/decoder.rar重新下载再试试。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-04 09:37 | 显示全部 短消息 资料
字号： 小 中 大 9楼

回复 23F 零度的穷浪漫 的帖子

vista右键以管理员身份运行这个程序试试，vista支持不太好。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-04 11:09 | 显示全部 短消息 资料
字号： 小 中 大 10楼

回复 25F 零度的穷浪漫 的帖子

标点符号都要删除
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT