12   1  /  2  页   跳转页

[教程] 网马解密工具之——Redoce

收藏
本主题由 版主 networkedition 于 2009-6-11 17:04:35 执行 设置高亮 操作
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 15:25 | 显示全部 短消息 资料
字号： 小 中 大 1楼

网马解密工具之——Redoce

这个工具很好很强大，是小祥编写开发的，在这里宣传一下哈，这个工具经过多次更新目前很完善。集成有自动和手动解密功能，它的pdf和swf网马解密功能也是很强悍的，在我们前期swf和pdf网马解密教程中有应用到此工具。我们会陆续讲解此工具的用法。目前此工具版本为：redoce v1.9+66，该工具支持更新功能，可自行更新。



用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)
最后编辑networkedition 最后编辑于 2009-06-11 15:26:18
分享到：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 15:44 | 显示全部 短消息 资料
字号： 小 中 大 2楼

回复: 网马解密工具之——Redoce

我在这里先抛砖引玉吧，先来讲解一下它的解密功能，ok，先来看一下6>Eval()清除(Beta!)和D>Document.Write清除这两个功能。在我们前期讲解的教程中，当遇到eval和document.write这个两个加密，我们发现freshow并不能直接来进行解密，eval解密需要借助在线解密工具，而document.write需要替换为alert，这实际给我们在解密过程中，增加解密时间。而redoce工具集成直接对此两种加密方式的解密，非常容易上手。先来看一下eval这个在网马解密中最常见的加密形式。




点击go来获取网站源代码，这相当于freshow的check。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 15:55 | 显示全部 短消息 资料
字号： 小 中 大 3楼

回复: 网马解密工具之——Redoce

这个工具可以快速的定位，网马源代码中的eval和document.write，该功能在执行下的3>标出Eval位置和4>标出Documents.Write位置 ，我们选择其中一个点击开始按钮，如果要解密网页源代码中有eval或document.write，会将eval或document.write高亮显示，在实际网马解密中非常实用。

最后编辑networkedition 最后编辑于 2009-06-11 16:06:20
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 16:19 | 显示全部 短消息 资料
字号： 小 中 大 4楼

回复: 网马解密工具之——Redoce

接下来我们选择解密选项的6>Eval()清除(Beta!)，点击开始按钮进行解密，详见下列截图：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 16:31 | 显示全部 短消息 资料
字号： 小 中 大 5楼

回复: 网马解密工具之——Redoce

哈哈，就这么轻松搞定。接下来再来看document.write，详见下列截图：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 16:38 | 显示全部 短消息 资料
字号： 小 中 大 6楼

回复: 网马解密工具之——Redoce

接下来选择解密选项的D>Document.Write清除，详见下列截图：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 16:48 | 显示全部 短消息 资料
字号： 小 中 大 7楼

回复: 网马解密工具之——Redoce

点击URL相当于freshow的filter，将2.css过滤出来，再次点击go获取2.css源代码，详见下列截图：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 17:00 | 显示全部 短消息 资料
字号： 小 中 大 8楼

回复: 网马解密工具之——Redoce

我们看到2.css有个shellcode，这里解密选项选择5>Unicode清除(%u,\u)(参数/无参数)，详见下列截图：
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-11 17:03 | 显示全部 短消息 资料
字号： 小 中 大 9楼

回复: 网马解密工具之——Redoce

我们看到只需选择相应的解密选项，点击相应开始按钮，就轻松完成解密。在这里点击日志A按钮可以讲解密结果格式化输出，相当于freshow的log按钮。日志格式如下：

[复制到剪贴板]
CODE:

关于:hxxp://xwb.cztv.tv/mj/4.htm解密的日志(全体输出 -  3):
Level  0>http://xwb.cztv.tv/mj/4.htm
Level  1>http://xwb.cztv.tv/mj/2.css
Level  2>http://ccav.qc.cx/vc.css
日志由 Redoce1.9第65次修正版于 2009-6-11 17:11:59 生成。


今天先讲解这么多，后续我们再讲解redoce其它功能。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-06-12 22:47 | 显示全部 短消息 资料
字号： 小 中 大 10楼

回复 11F xiaoqiang305 的帖子

SRC>功能解释：
此功能等于Freshow的Qeye Filter
会将Script和Iframe这类元素过滤出来
URL>功能解析：
会将页面中所有URL过滤出来
一般用于解密完成后，点一下地址会自动跑到日志区
EXT>将设置中的敏感类型网址过滤出来
一般用于SWF过滤
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT