搜索

[14428] 2019-08-04_CHM木马的分析与利用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-08-04_CHM木马的分析与利用 C H M 木 马 的 分 析 与 利 用 s t r a w b e r r y   F r e e B u f   2 0 1 9 - 0 8 - 0 4 前 言 前 言 C H M 文 件 格 式 是 微 软 推 出 的 基 于 H T M L 文 件 特 性 的 帮 助 文 件 系 统 ， 也 称 作 “ 已 编 译 的 H T M L 帮 助 文 件 ” 。 C H M 能 够 支 持 脚 本 、 F l a s h 、 图 片 、 音 频 、 视 频 等 内 容 ， 并 且 同 样 支 持 超 链 接 目 录 、 索 引 以 及 全 文 检 索 功 能 ， 常 用 来 制 作 说 明 文 档 、 电 子 书 等 以 方 便 查 阅 ， 在 绝 大 多 数 人 的 印 象 中 ， C H M 类 型 文 件 是 “ 无 公 害 ” 文 档 文 件 。 偶 然 获 得 了 一 个 过 偶 然 获 得 了 一 个 过 X 6 0 启 动 的 启 动 的 C H M 木 马 ， 由 于 从 未 接 触 过 此 类 木 马 ， 遂 进 行 一 番 学 习 ， 并 通 过 木 马 所 带 来 的 启 发 再 创 造 。 木 马 ， 由 于 从 未 接 触 过 此 类 木 马 ， 遂 进 行 一 番 学 习 ， 并 通 过 木 马 所 带 来 的 启 发 再 创 造 。 一 、 木 马 行 为 分 析 一 、 木 马 行 为 分 析 C H M 文 件 是 经 过 压 缩 的 各 类 资 源 的 集 合 ， 使 用 7 z 解 压 软 件 直 接 打 开 木 马 样 本 ， 如 图 所 示 ， 可 以 发 现 C H M 文 件 内 部 包 含 一 个 说 明 . h t m l 文 件 。 打 开 说 明 . H T M 文 件 可 以 发 现 里 面 存 着 混 淆 过 的 J S 脚 本 代 码 ： 进 行 一 番 解 密 并 写 下 粗 略 的 注 释     P S : 本 人 并 未 学 过 J S   所 以 并 不 懂 J S   以 下 有 任 何 错 误 请 大 家 指 出 可 以 看 出 最 关 键 的 代 码 应 该 是
结 合 我 之 前 对 C H M 木 马 的 行 为 分 析 基 本 可 以 判 断 C H M 木 马 的 执 行 流 程 ： 1 . 利 用 W I N R A R 解 压 自 身 到 C : U s e r s P u b l i c D o c u m e n t s 2 . 执 行 C M D 命 令 注 册 1 . r e g   添 加 启 动 3 . 打 开 P e r f l o g . e x e 在 W I N 7 虚 拟 机 打 开 样 本 可 以 看 到 解 压 出 了 如 下 文 件 ： 可 以 看 到 解 压 出 了 如 图 五 个 文 件 并 成 功 添 加 启 动 项 v a r   d   =   ' < O B J E C T   i d = U N R A R   c l a s s i d = " c l s i d : a d b 8 8 0 a 6 - d 8 f f - 1 1 c f - 9 3 7 7 - 0 0 a a 0 0 3 b 7 a 1 1 "   w i d t h = 1   h e i g h t = 1 > < P A R A M   n a m e = " C o m m a n d "   v a l u e = " S h o r t C u t " > < P A R A M   n a m e = " B u t t o n "   v a l u e = " B i t m a p : : s h o r t c u t "
由 于 我 不 懂 逆 向 工 程   但 是 可 以 做 出 如 下 推 测 1 . p e r f l o g . e x e 是 具 有 有 效 签 名 的 白 文 件 启 动 时 会 调 用 e d u d l l . d l l 2 . e d u d l l . d l l 是 黑 d l l 以 上 这 应 该 是 个 一 个 典 型 的 白 加 黑 木 马 水 平 有 限 就 不 去 分 析 这 个 p e r f l o g . e x e 的 行 为 了 接 下 来 思 考 如 何 打 造 属 于 自 己 的 C H M 后 门 二 、 再 创 造 二 、 再 创 造 思 路 : 样 本 的 J S 代 码 基 本 不 变 ， 只 需 去 掉 那 些 无 用 的 文 件 ， 解 压 缩 释 放 出 1 . r e g 与 p a y l o a d 即 可 1 . 反 编 译 样 本 C H M （ 这 里 使 用 E a s y C H M ） 2 . 修 改 说 明 . h t m （ 由 于 懒   就 不 用 做 太 多 改 动 了 ）
3 . 将 自 己 的 1 . r e g 与 p a y l o a d 制 作 成 压 缩 包 4 . 编 译 C H M 5 . 将 压 缩 包 并 写 入 C H M （ 利 用 C 3 2 A s m ）
将 p a y l o a d . r a r 粘 贴 到 C H M 的 最 后 面 并 保 存 6 . 测 试 O K ， 成 功 。 三 、 小 结 三 、 小 结 之 所 以 这 个 方 法 能 绕 过 杀 毒 检 测 我 感 觉 可 能 是 因 为 利 用 C H M 文 件 可 以 绕 过 父 进 程 检 测   P S : 我 W I N 7   3 2 位 虚 拟 机 测 试 是 可 以 过 检 测 的 ， 不 知 道 别 的 环 境 是 否 可 以 ， 如 果 不 行 别 喷 我 呀 另 外 此 方 法 不 用 网 络 下 载 也 很 出 彩 （ 但 是 遇 到 没 有 预 装 w i n r a r 的 系 统 可 能 就 傻 了 ） 四 、 一 些 废 话 四 、 一 些 废 话 本 人 准 大 学 生 一 枚 ， 经 过 了 衡 水 某 中 学 复 读 一 年 的 考 验 ， 成 功 超 一 本 线 （ 提 交 此 文 章 审 核 时 ， 刚 好 听 到 我 被 调 剂 到 一 个 与 计 算 机 无 关 的 专 业 ， 唉 ， 只 能 好 好 学 习 争 取 转 专 业 ） 。 由 于 复 读 所 以 之 前 混 的 一 些 网 络 安 全 有 关 的 圈 子 都 删 掉 了 ， 本 人 非 常 想 向 各 位 前 辈 学 习 有 关 网 络 安 全 的 知 识 ， 希 望 前 辈 们 可 以 带 带 我 这 个 小 弟 ， 给 我 推 荐 一 些 论 坛 或 者 Q Q 群 ， 让 我 可 以 有 地 方 请 教 一 些 问 题 。 最 后 ， 欢 迎 大 佬 的 批 评 与 指 正 ， 不 胜 感 激 。 * 本 文 作 者 ： 本 文 作 者 ： s t r a w b e r r y ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理