搜索

[9092] 2015-07-03_SwfDecrypt详解

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-17
2015-07-03_SwfDecrypt详解 S w f   D e c r y p t 详 解 F r e e B u f   2 0 1 5 - 0 7 - 0 3 微 信 号 微 信 号 : f r e e b u f 攻 击 在 持 续 ， 攻 击 的 技 术 在 演 进 。 防 御 者 需 要 持 续 的 跟 进 研 究 和 投 入 。 最 近 攻 击 在 持 续 ， 攻 击 的 技 术 在 演 进 。 防 御 者 需 要 持 续 的 跟 进 研 究 和 投 入 。 最 近 F l a s h   0 d a y 频 繁 出 现 ， 将 我 们 更 多 的 目 光 频 繁 出 现 ， 将 我 们 更 多 的 目 光 集 中 到 集 中 到 f l a s h 上 。 上 。 F l a s h 作 为 脚 本 语 言 ， 可 以 编 译 ， 不 少 的 恶 意 f l a s h 文 件 通 过 各 种 加 密 、 混 淆 、 动 态 解 密 来 对 抗 人 工 分 析 和 引 擎 检 测 。 通 过 动 态 执 行 ， 常 见 的 动 态 解 密 的 s w f 都 可 以 解 决 。 不 过 遇 到 很 多 条 件 判 断 、 环 境 依 赖 的 限 制 ， 往 往 又 无 法 稳 定 d u m p 出 解 密 的 s w f 文 件 和 关 键 的 数 据 ( s h e l l c o d e ) 。 如 果 能 在 静 态 的 方 法 对 混 淆 、 加 密 的 s w f 文 件 直 接 进 行 反 混 淆 、 反 编 译 ， 则 将 能 有 效 提 升 检 测 效 果 。 市 面 上 可 以 对 s w f 进 行 加 密 的 软 件 很 多 ， 如 s w f e n c r y p t 、 d o s w f 、 s e c u r e s w f 、 d c o m s o f t 等 ， 我 们 这 次 对 d o s w f 以 及 s e c u r e s w f 进 行 简 单 的 分 析 ， 与 各 位 小 伙 伴 分 享 。 恶 意 的 S W F 常 常 通 过 d o s w f 加 密 和 s e c u r e   s w f 混 淆 ， 真 正 利 用 的 部 分 被 加 密 、 混 淆 ， 通 过 研 究 d o s w f 的 加 密 方 式 以 及 s e c u r e s w f 的 混 淆 方 式 ， 可 以 直 接 通 过 静 态 的 方 法 进 行 相 应 的 解 密 和 反 混 淆 ， 直 接 检 测 最 核 心 的 恶 意 代 码 部 分 ， 有 效 提 升 引 擎 检 测 率 。 （ 用 户 可 使 用 文 件 B 超 系 统   h t t p : / / b - c h a o . c o m   和 云 盾 - 星 云 A P T 检 测 产 品 享 受 到 我 们 的 技 术 成 果 ） d o s w f d o s w f 是 国 人 开 发 的 一 款 f l a s h 加 密 混 淆 软 件 ， 从 官 网 可 以 看 出 该 软 件 已 经 停 止 了 开 发 ， 当 前 最 新 版 本 为 5 . 4 . 3 。 我 们 对 比 了 版 本 4 . 9 . 7 和 最 新 版 本 之 间 加 密 效 果 的 区 别 ， 发 现 两 者 相 差 不 大 ， 在 介 绍 完 整 体 的 加 密 流 程 之 后 ， 再 将 它 们 之 间 的 差 异 展 示 出 来 。 C r y p t   F l o w 经 过 d o s w f 加 密 的 s w f 文 件 ， 都 存 在 D e f i n e B i n a r y D a t a 的 t a g ， 因 为 原 始 s w f 文 件 将 会 存 放 在 这 个 二 进 制 数 据 中 ， 二 进 制 数 据 经 过 解 密 后 通 过 l o a d b y t e s 进 行 加 载 。
这 个 二 进 制 数 据 的 头 部 结 构 如 下 ( B 标 示 字 节 ) ： 原 始 s w f 文 件 从 起 始 以 o f f s e t 为 步 长 ， 每 次 对 b l o c k _ s z 的 块 进 行 处 理 ， 块 中 的 数 据 并 不 是 逐 一 字 节 处 理 的 ， 而 是 依 据 一 个 特 定 值 跳 跃 处 理 ， 在 整 个 文 件 处 理 完 成 后 进 行 压 缩 ， 压 缩 后 的 数 据 再 加 上 上 面 的 头 部 信 息 就 形 成 了 完 整 的 二 进 制 数 据 了 。 上 面 的 描 述 简 化 了 一 些 不 重 要 的 因 素 ， 如 d o s w f 加 密 时 还 会 嵌 入 两 个 额 外 的 s w f 文 件 ， 所 以 当 解 密 二 进 制 数 据 后 ， 会 发 现 解 密 后 的 数 据 中 包 含 三 个 s w f ， 这 时 只 要 根 据 硬 编 码 特 征 ” F W S ” 、 ” C W S ” 就 可 以 将 所 有 包 含 的 s w f 文 件 完 整 d u m p 出 来 。 关 键 解 密 代 码 ： 关 键 解 密 代 码 ： 版 本 4 . 9 . 7 和 最 新 版 本 解 密 代 码 的 差 异 ：
可 以 看 到 ， 差 异 在 于 头 字 节 结 构 的 几 个 值 得 获 取 、 大 小 端 以 及 跳 跃 值 的 不 同 。 我 们 拿 C V E - 2 0 1 2 - 0 7 7 9 样 本 （ m d 5 ： 2 b 9 8 d 2 8 5 c 8 b 5 8 1 8 5 5 d 5 9 a c 3 6 8 9 5 6 e e 7 8 ） 进 行 测 试 ， 这 是 一 个 d o s w f 4 . 9 . 7 版 本 加 壳 的 样 本 ： 检 测 d u m p 出 的 数 据 ， 可 以 发 现 里 面 包 含 有 三 个 s w f 文 件 。 D e c r y p t   C o d e 目 前 放 出 针 对 旧 版 的 解 密 代 码 ( 新 版 自 行 解 决 ， 根 据 前 面 的 提 示 很 容 易 更 改 ) ， 仅 支 持 解 压 后 的 d o s w f 解 密 测 试 的 样 本 由 M D 5 :   2 b 9 8 d 2 8 5 c 8 b 5 8 1 8 5 5 d 5 9 a c 3 6 8 9 5 6 e e 7 8   解 压 之 后 的 样 本 。 S e c u r e S w f S e c u r e s w f 加 密 软 件 ， 号 称 b r e a k 掉 所 有 的 f l a s h 反 编 译 软 件 ， 支 持 对 资 源 加 密 、   支 持 对 a s   c o d e 级 别 做 混 淆 ， 通 过 添 加 各 种 j u m p 、 反 复 跳 转 指 令 、 垃 圾 指 令 填 充   阻 止 反 编 译 软 件 反 编 译   增 加 分 析 人 员 分 析 出 具 体 的 a c t i o n s c r i p t 原 理 难 度 。 之 前 拿 到 C V E - 2 0 1 5 - 3 1 0 5   样 本 就 是 用 s e c u r e   s w f 混 淆 过 的 ， 刚 好 可 以 分 析 下 M D 5 :   5 8 d 1 0 2 2 9 2 3 9 5 0 a d 1 4 5 2 c 7 2 f 4 6 b 1 e e 3 d 0 。 D U S   f u n c t i o n 以 这 个 d u s 函 数 为 例 做 反 混 淆 ： T y p e 1   j u m p
g e t l o c a l _ 0 p u s h s c o p e p u s h b y t e   0 n e w f u n c t i o n   3 0 p o p j u m p   o f s 0 0 1 7 c o n v e r t _ i d e c l o c a l   4 u r s h i f t r s h i f t d e c l o c a l _ i   2 d e c l o c a l   2 a s t y p e l a t e n e w a c t i v a t i o n i n c r e m e n t o f s 0 0 1 7 : g e t l o c a l   4 j u m p 之 间 都 是 垃 圾 指 令   可 以 直 接 改 成 g e t l o c a l _ 0 p u s h s c o p e p u s h b y t e   0 n e w f u n c t i o n   3 0 p o p g e t l o c a l   4 把 这 段 a b c c o d e 中 所 有 j u m p 之 间 的 直 接 去 掉 。 T y p e 2   g e t l o c a l   n 混 淆 指 令 里 面 充 斥 着 g e t l o c a l   n 指 令   获 取 寄 存 器 的 v a l u e   并 P U S H   S T A C K ， 紧 接 着 跟 着 判 断 ， 如 ： g e t l o c a l   4   / /   r e g 4 . v a l u e   p u s h   s t a c k i f f a l s e   o f s 0 0 1 3   / /   p o p   r e g 4 . v a l u e   j u d g e   t h i s   v a l u e   i f   i s   f a l s e p u s h b y t e   0 n e w f u n c t i o n   3 0 p o p g e t l o c a l   4 i f f a l s e   o f s 0 0 1 3 i n c r e m e n t _ i
i n c r e m e n t _ i p u s h b y t e   7 m u l t i p l y _ i d e c r e m e n t _ i o f s 0 0 1 3 : s e t l o c a l _ 3 l o c a l 4   初 始 化 值 应 该 为 0   ， 则 可 以 直 接 简 化 成 p u s h b y t e   0 n e w f u n c t i o n   3 0 p o p s e t l o c a l _ 3 后 面 以 此 类 似 ： g e t l o c a l   5 i f t r u e   o f s 0 0 5 3 l o c a l 5   为 0 ， 则 不 会 跳 转 ， 直 接 简 化 这 两 条 指 令 。 所 以 没 有 经 过 s e t l o c a l   n 的 n 对 应 的 g e t l o c a l   n 获 取 的 值 应 该 都 是 0 ， 带 着 这 样 的 设 定 来 精 简 指 令 就 很 容 易 了 。 g e t l o c a l   1 3 n o t i f f a l s e   o f s 0 0 d 9   / / 条 件 不 成 立   直 接 去 掉 这 样 的 三 条 指 令 g e t l o c a l   1 3 i f t r u e   o f s 0 0 e d   / / 条 件 不 成 立   直 接 去 掉 这 样 的 2 条 指 令 g e t l o c a l   1 2 i f f a l s e   o f s 0 1 5 9 / / 条 件 成 立   直 接 去 掉 当 前 2 条 指 令 到 o f s 0 1 5 9   直 接 的 所 有 指 令 ( 中 间 代 码 没 有 其 他 地 方 跳 转 过 来 ) T y p e 3   g a r b a g e   i n s g e t l o c a l _ 1 p u s h b y t e   4 m o d u l o i f f a l s e   o f s 0 0 5 3 o f s 0 0 5 3 : l o c a l 1   为 0 ， m o d u l o 之 后   0 / 4   为 0   ， p u s h   s t a c k ， i f f a l s e   p o p   s t a c k ， 条 件 成 立 ， 无 意 义 片 段 。
还 有 一 些 ： d e c r e m e n t _ i i n c r e m e n t _ i d e c r y p t   d u s   f u n c t i o n R x g p i t t d k c   f u n c t i o n 在 以 这 个 函 数 为 例 ， 按 照 上 面 的 步 骤 ， 先 去 除 j u m p   垃 圾 指 令 ， 在 去 除 g e t l o c a   n 之 类 的 垃 圾 指 令 ： D p h g j x u k p   f u n c t i o n T y p e 4   k i l l   i n s g e t l o c a l _ 1   / /   r e g 1 . v a l u e   p u s h   s t a c k g e t l o c a l _ 0   / /   r e g 0 . v a l u e   p u s h   s t a c k g e t l o c a l _ 2   / /   r e g 2 . v a l u e   p u s h   s t a c k k i l l   1   / / k i l l   r e g 1 . v a l u e k i l l   0   / / k i l l   r e g 0 . v a l u e k i l l   2   / / k i l l   r e g 2 . v a l u e s e t l o c a l _ 2   / / p o p   s t a c k , s e t   v a l u e   t o   r e g 2 . v a l u e
s e t l o c a l _ 0   / / p o p   s t a c k , s e t   v a l u e   t o   r e g 0 . v a l u e s e t l o c a l _ 1   / / p o p   s t a c k , s e t   v a l u e   t o   r e g 1 . v a l u e 这 样 的 指 令 集 也 是 垃 圾 指 令 。 T y p e 5   a s   f u n c t i o n   f l o w   c h a n g e S e c u r e   S w f 会 对 简 单 的 a s   函 数 调 用 从 a b c   层 面 流 程 进 行 混 乱 。 比 如 这 个 d p h g j x u k p   函 数   还 原 之 后 真 正 的 代 码 如 下 ： n i r a o d w x ( ) ; i n i t ( ) ; r e t u r n ; 解 混 淆 之 后 ： 可 以 看 到 j p e x s 对 这 样 的 反 编 译 是 混 乱 的 ， 可 以 把 相 应 的 跳 转 换 成 j u m p 。 比 如 g e t l o c a l _ 2   i f f a l s e   换 成 j u m p   o f s 0 0 4 4   , 以 此 类 似 ， 最 终 得 到 的 反 编 译 结 果 。 可 以 看 到 这 个 s w f 混 淆 的 还 是 很 容 易 解 密 出 来 的 ， 更 多 的 人 工 体 力 活 可 以 通 过 编 写 自 动 化 的 脚 本 来 实 现 。 ( 有 钱 的 主 可 以 购 买 a v s   a c t i o n s c r i p t   v i e w 的 1 4 9 U S D 的 插 件   直 接 反 编 译 s e c u r e s w f ) 。 <   部 分 代 码 过 长 ， 被 删 节 ， 请 点 击 最 下 方 的 “ 阅 读 原 文 ” 查 看   > * 作 者 ： 云 柠 （ J o y ）   &   入 侵 （ I n s t r u d e r ） @ 阿 里 基 础 安 全 威 胁 情 报 中 心 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理