搜索

[27551] 2020-09-07_空指针9月公开赛RE-WP

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-09-07_空指针9月公开赛RE-WP 空 指 针 9 月 公 开 赛 R E - W P N u 1 L   T e a m   N u 1 L   T e a m   2 0 2 0 - 0 9 - 0 7 本 次 只 有 R E 公 开 赛 有 人 解 出 题 目 ， 同 时 由 于 一 血 选 手 已 经 获 得 内 部 赛 资 格 ， 故 将 奖 励 顺 延 。 同 时 由 于 9 月 大 学 生 国 赛 、 第 五 空 间 、 0 C T F 以 及 各 类 C T F 线 上 赛 过 多 ， 所 以 9 月 内 部 赛 顺 延 至 1 0 月 ， 请 大 家 理 解 。 这 一 次 的 题 目 模 仿 勒 索 软 件 的 的 实 现 方 式 出 了 一 个 题 目 。 此 程 序 会 对 f l a g 文 件 进 行 加 密 ， 选 手 需 要 分 析 木 马 行 为 并 提 取 出 木 马 实 际 执 行 的 s h e l l c o d e 。 通 过 分 析 s h e l l c o d e 了 解 解 密 方 式 并 进 行 解 密 。 木 马 位 置 木 马 位 置 下 载 附 件 之 后 会 发 现 附 件 中 是 一 个 q q 的 安 装 包 。 使 用 b i n w a l k 或 者 直 接 使 用 压 缩 软 件 打 开 安 装 包 就 会 发 现 该 安 装 包 是 伪 造 的 。 此 安 装 包 会 静 默 释 放 出 木 马 程 序 与 原 版 的 q q 安 装 包 并 执 行 。 我 们 只 需 要 分 析 木 马 程 序 t a s k S e r v e r 即 可 。 木 马 行 为 木 马 行 为 木 马 总 体 行 为 如 下 ： 1 .   从 自 身 程 序 的 末 尾 读 取 c c 服 务 器 配 置 并 解 密 2 .   从 c c 服 务 器 下 载 加 密 的 s h e l l c o d e 与 解 密 密 钥 3 .   解 密 s h e l l c o d e 并 执 行 4 .   s h e l l c o d e 读 取 f l a g 文 件 并 加 密 写 回 木 马 分 析 木 马 分 析 虽 然 包 括 c c 地 址 ， s h e l l c o d e 等 内 容 都 是 用 了 比 较 多 层 的 加 密 算 法 进 行 加 密 。 但 是 由 于 C C 服 务 器 并 没 有 关 闭 。 所 以 可 以 直 接 动 态 调 试 即 可 从 内 存 中 d u m p 出 s h e l l c o d e 。 用 来 跳 转 s h e l l c o d e 的 函 数 地 址 为 0 x 0 0 4 4 7 E F 0 。 . t e x t : 0 0 4 4 7 E F 0   ? s h e l l c o d e _ j m p @ @ Y A X P A X @ Z   p r o c   n e a r           ;   C O D E   X R E F :   r u n _ s h e l l c o d e ( u c h a r   * , u i n t ) + 2 5 ↑ p . t e x t : 0 0 4 4 7 E F 0 . t e x t : 0 0 4 4 7 E F 0   a                               =   d w o r d   p t r   - 8 . t e x t : 0 0 4 4 7 E F 0   s h e l l c o d e               =   d w o r d   p t r   8 . t e x t : 0 0 4 4 7 E F 0 . t e x t : 0 0 4 4 7 E F 0                                   p u s h       e b p . t e x t : 0 0 4 4 7 E F 1                                   m o v           e b p ,   e s p
. t e x t : 0 0 4 4 7 E F 3                                   s u b           e s p ,   8 . t e x t : 0 0 4 4 7 E F 6                                   m o v           e a x ,   4 . t e x t : 0 0 4 4 7 E F B                                   i m u l       e c x ,   e a x ,   3 . t e x t : 0 0 4 4 7 E F E                                   m o v           e d x ,   [ e b p + s h e l l c o d e ] . t e x t : 0 0 4 4 7 F 0 1                                   m o v           [ e b p + e c x + a ] ,   e d x . t e x t : 0 0 4 4 7 F 0 5                                   m o v           e s p ,   e b p . t e x t : 0 0 4 4 7 F 0 7                                   p o p           e b p . t e x t : 0 0 4 4 7 F 0 8                                   r e t n 这 个 函 数 直 接 将 传 入 的 s h e l l c o d e 的 地 址 写 到 栈 上 自 身 的 返 回 地 址 上 。 这 样 在 函 数 r e t u r n 的 时 候 就 会 跳 转 到 s h e l l c o d e 上 执 行 。 由 于 I D A 无 法 分 析 这 种 行 为 ， f 5 会 直 接 显 示 该 函 数 为 空 函 数 。 s h e l l c o d e 分 析 分 析 如 果 使 用 w i n d b g 和 o d 对 s h e l l c o d e 进 行 动 态 分 析 大 概 会 比 较 困 难 。 不 过 如 果 仔 细 看 s h e l l c o d e 代 码 ， 不 难 发 现 这 段 代 码 其 实 是 使 用 编 译 器 直 接 编 译 的 而 不 是 手 工 写 的 。 而 且 其 带 有 许 多 l i n u x   g c c 编 译 的 特 征 。 其 实 这 段 s h e l l c o d e 是 在 l i n u x 下 使 用 g c c 编 译 的 程 序 。 首 先 使 用 g c c 的 - f P I C 和 - s h a r e d 参 数 来 编 译 位 置 无 关 代 码 。 然 后 根 基 程 序 的 p r o g r a m   h e a d e r 将 e l f 中 的 代 码 以 及 全 局 变 量 段 都 提 取 出 来 。 然 后 将 程 序 中 和 运 行 无 关 的 比 如 e l f 头 ， d y n s y m 等 直 接 用 a 进 行 填 充 。 然 后 将 程 序 g o t 表 中 的 函 数 地 址 直 接 替 换 成 从 编 译 好 的 密 码 P E 文 件 中 找 到 的 相 同 函 数 的 地 址 。 最 后 将 s h e l l c o d e 头 部 前 5 个 字 节 使 用 j m p   x x x 用 来 跳 转 程 序 的 入 口 点 。 这 样 程 序 就 可 以 在 w i n d o w s   P E 程 序 中 当 做 s h e l l c o d e 来 执 行 了 。 所 有 将 s h e l l c o d e 提 取 出 来 当 做 一 个 e l f   d u m p 来 分 析 会 比 较 简 单 s h e l l l c o d e 本 身 实 现 了 l z w 算 法 。 所 以 只 需 要 参 照 l z w 的 解 密 方 法 进 行 解 密 即 可 。 唯 一 不 太 一 样 的 是 为 了 防 止 字 典 过 大 ， 实 际 实 现 中 如 果 字 典 大 小 大 于 6 5 5 3 5 会 重 置 字 典 。 在 解 密 过 程 中 也 同 样 操 作 即 可 。 解 密 代 码 如 下 ： # !   / u s r / b i n / p y t h o n 2 d e f   c o m p r e s s ( u n c o m p r e s s e d ) :       " " " C o m p r e s s   a   s t r i n g   t o   a   l i s t   o f   o u t p u t   s y m b o l s . " " "       #   B u i l d   t h e   d i c t i o n a r y .       d i c t _ s i z e   =   2 5 6       d i c t i o n a r y   =   { c h r ( i ) :   i   f o r   i   i n   r a n g e ( d i c t _ s i z e ) }       w   =   " "       r e s u l t   =   [ ]       f o r   c   i n   u n c o m p r e s s e d :               w c   =   w   +   c               i f   w c   i n   d i c t i o n a r y :                       w   =   w c               e l s e :                       r e s u l t . a p p e n d ( d i c t i o n a r y [ w ] )                       #   A d d   w c   t o   t h e   d i c t i o n a r y .                       d i c t i o n a r y [ w c ]   =   d i c t _ s i z e                       d i c t _ s i z e   + =   1                       w   =   c                       i f   d i c t _ s i z e   = =   6 5 5 3 5 :                               i f   w :                                       r e s u l t . a p p e n d ( d i c t i o n a r y [ w ] )                               w   =   " "                               d i c t _ s i z e   =   2 5 6                               d i c t i o n a r y   =   { c h r ( i ) :   i   f o r   i   i n   r a n g e ( d i c t _ s i z e ) }       #   O u t p u t   t h e   c o d e   f o r   w .       i f   w :               r e s u l t . a p p e n d ( d i c t i o n a r y [ w ] )
      r e t u r n   r e s u l t d e f   d e c o m p r e s s ( c o m p r e s s e d ) :       " " " D e c o m p r e s s   a   l i s t   o f   o u t p u t   k s   t o   a   s t r i n g . " " "       f r o m   c S t r i n g I O   i m p o r t   S t r i n g I O       #   B u i l d   t h e   d i c t i o n a r y .       d i c t _ s i z e   =   2 5 6       d i c t i o n a r y   =   { i :   c h r ( i )   f o r   i   i n   r a n g e ( d i c t _ s i z e ) }       #   u s e   S t r i n g I O ,   o t h e r w i s e   t h i s   b e c o m e s   O ( N ^ 2 )       #   d u e   t o   s t r i n g   c o n c a t e n a t i o n   i n   a   l o o p       r e s u l t   =   S t r i n g I O ( )       w   =   c h r ( c o m p r e s s e d . p o p ( 0 ) )       r e s u l t . w r i t e ( w )       i t   =   i t e r ( c o m p r e s s e d )       f o r   k   i n   i t :               i f   k   i n   d i c t i o n a r y :                       e n t r y   =   d i c t i o n a r y [ k ]               e l i f   k   = =   d i c t _ s i z e :                       e n t r y   =   w   +   w [ 0 ]               e l s e :                       r a i s e   V a l u e E r r o r ( ' B a d   c o m p r e s s e d   k :   % s '   %   k )               r e s u l t . w r i t e ( e n t r y )               #   A d d   w + e n t r y [ 0 ]   t o   t h e   d i c t i o n a r y .               d i c t i o n a r y [ d i c t _ s i z e ]   =   w   +   e n t r y [ 0 ]               d i c t _ s i z e   + =   1               w   =   e n t r y               i f   d i c t _ s i z e   = =   6 5 5 3 5 :                       d i c t _ s i z e   =   2 5 6                       d i c t i o n a r y   =   { i :   c h r ( i )   f o r   i   i n   r a n g e ( d i c t _ s i z e ) }                       w   =   c h r ( n e x t ( i t ) )                       r e s u l t . w r i t e ( w )       r e t u r n   r e s u l t . g e t v a l u e ( ) #   H o w   t o   u s e : # w i t h   o p e n ( " . / f l a g " ,   ' r ' )   a s   f p : #       d a t a   =   f p . r e a d ( ) # # c o m p r e s s e d   =   c o m p r e s s ( d a t a ) # i m p o r t   s t r u c t # w i t h   o p e n ( " p y . e n c 2 " ,   ' w b ' )   a s   f p : #       f o r   i   i n   c o m p r e s s e d : #               f p . w r i t e ( s t r u c t . p a c k ( ' H ' ,   i ) ) # w i t h   o p e n ( " f l a g . e n c " ,   " r b " )   a s   f p :       c o m p   =   f p . r e a d ( ) c o m p r e s s e d   =   [ ] f o r   i   i n   r a n g e ( l e n ( c o m p ) / 2 ) :       d   =   c o m p [ i * 2 : i * 2 + 2 ]       n u m   =   s t r u c t . u n p a c k ( ' H ' , d ) [ 0 ]       c o m p r e s s e d . a p p e n d ( n u m ) d e c o m p r e s s e d   =   d e c o m p r e s s ( c o m p r e s s e d ) w i t h   o p e n ( " p y . d e c " ,   ' w ' )   a s   f p :       f p . w r i t e ( d e c o m p r e s s e d )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理