2009年7月23日[网马解密]讲义 bbs.ikaka.com

larry6224 - 2009-7-23 20:13:00

老师啊有没有你用的这个网马解密工具下载地址

看明白了一半还需要实践一下在线的那个看起来没有你的简单实用

幽灵楠 - 2009-7-23 20:14:00

我想问的是要解密的网马的地址这个地址从哪里能得到呢？
万一防火墙啥的没提示没阻止就是那种免杀了的网马呢？

networkedition - 2009-7-23 20:17:00

解密工具下载在24楼呀，你没有看我发的帖呀:kaka6: ，在线解密那个是辅助工具。

gvista - 2009-7-23 20:19:00

请问用这个软件成功把木马下载地址找出来后，应该做些什么？

networkedition - 2009-7-23 20:19:00

网马地址就是通过解密获得呀，本次培训主要是通过分析解密找出木马地址，而不是病毒分析，只要找到木马地址就行。

幽灵楠 - 2009-7-23 20:21:00

呵呵老大给几个恶意网址练练呵呵。。

networkedition - 2009-7-23 20:21:00

网马解密一是可以从中获取到样本，其次对于一些网站被挂马站长或个人有很大帮助，可以快速定位所挂链接地址，并迅速解决挂马事件。

networkedition - 2009-7-23 20:22:00

今天的解密实例都会了？那几个解密实例都看了？

dipahole - 2009-7-23 20:24:00

:kaka4:
老师能不能给几个实例巩固一下...

networkedition - 2009-7-23 20:25:00

解密实例打包下载在23楼，都是我讲义中的源文件，可先照此练习。后续会每天提供练习的网址。

黑洞之光 - 2009-7-23 20:28:00

怎么保存为HTM运行呀

零度的穷浪漫 - 2009-7-23 20:28:00

老师给的附件里面就有的

gvista - 2009-7-23 20:28:00

恩，我觉得这东西就是熟能生巧的东西，还是多做些练习比较好。

零度的穷浪漫 - 2009-7-23 20:29:00

引用:

原帖由 黑洞之光 于 2009-7-23 20:28:00 发表
怎么保存为HTM运行呀

复制到记事本里保存应该可以吧？

networkedition - 2009-7-23 20:30:00

将处理好的源代码文件粘贴至记事本，保存时文件名任意，扩展名为htm即可。

larry6224 - 2009-7-23 20:30:00

嘿嘿 :kaka6:

用了几个源代码解密成功感觉不错

老师讲义写的不错容易明白上手

再去研究一下技术区挂马网址看看效果

networkedition - 2009-7-23 20:31:00

但要首先掌握解密方法呀，后续会提供网址供大家来练习的

networkedition - 2009-7-23 20:32:00

不错，加油。:kaka12:

黑洞之光 - 2009-7-23 20:42:00

document.write解密中，保存为htm运行用来干嘛，没看懂

phoenixeagle - 2009-7-23 20:46:00

问个比较菜的问题
用freshow时，反复的check ----.>filter，到社么时候为止呢？
每次check之后，是不是都要仔细观察代码区，寻找蛛丝马迹啊？

networkedition - 2009-7-23 20:46:00

简单说就是让浏览器去执行代码，从而得到我们想要的东西（网马地址）

言兮 - 2009-7-23 20:48:00

:kaka4: 这次难度有点高了，有点看不懂。老师，FreShow汉化版的做练习用还是没问题吧?英文版的用作不舒服，想等熟练了，再用英文版的。:kaka12:

networkedition - 2009-7-23 20:50:00

filter主要是用来过滤iframe和js脚本，是查看每个iframe或js脚本，直到你认为有恶意链接地址并解密出网马，或者没有恶意链接地址为止。

networkedition - 2009-7-23 20:51:00

可以，功能上都一样的，但汉化版的翻译有误。

汐影随风 - 2009-7-23 20:54:00

可苦了我了，这么多..:kaka10:

零度的穷浪漫 - 2009-7-23 20:54:00

引用:

原帖由 networkedition 于 2009-7-23 9:17:00 发表
[attachimg]544667[/attachimg]

附件: 您所在的用户组无法下载或查看附件
这是什么情况啊？老师

networkedition - 2009-7-23 21:00:00

那个链接地址失效了，直接看eval实例的源文件，源文件就是那个地址的源代码。

黑洞之光 - 2009-7-23 21:06:00

引用:

原帖由 networkedition 于 2009-7-23 20:46:00 发表
简单说就是让浏览器去执行代码，从而得到我们想要的东西（网马地址）

就是运行直接会有如图显示吗

[img]file:///C:/DOCUME~1/11/LOCALS~1/Temp/9]Y%60Y7AA350@GA%60CK~JBUEV.jpg[/img]

networkedition - 2009-7-23 21:08:00

对的，要将document.write替换为alert。

凡尘之沙 - 2009-7-23 21:09:00

每种木马都有相应的特征我们使用瑞星后恶意网址被拦截了我们要从哪里解码啊要注意哪些问题啊

瑞星卡卡安全论坛