空间管理您的位置: IXPUB技术博客 » 妖界之箭欢迎您(CHINA *009) » 日志

[攻防手记]轻轻松松解密各种网页木马

上一篇 / 下一篇 2007-12-17 18:48:14

rZ Z3VdN4~N"FVEX0或许大家已经看过很多解密网马的办法。借助工具很多网马都被轻松的解开，不如：unescape加密，Encode加密,js变异加密,US-ASCII加密，但是如果是手头没有工具呢？或者遇到连工具都无法解开的加密呢？轻言放弃可不是我们的作风哦！今天就为大家讲解一些总结出来的实用的解密方式和新方法。

首先大家要理解一个问题，所有的网马加密方式，再客户端都必须被识别，如果无法转换为浏览器可以识别的标准代码的话，是无法被运行的！所以理论上所有网马的加密方式都是可以解密的。我们就拿几个典型的例子来讲解吧。IXPUB技术博客ic.A3g5I+R

\ ya%_p*Zrlx,}.d0 首先是我最近遇到一个网马，加密结果如下：IXPUB技术博客1NH+NO7vx2v ?

aeTcK2M0 是不是看的很头疼啊？乱七八糟的，无从下手了，不是简单的解密工具就行了吧？我们一起来动手解决掉它吧！首先我们来一起了解两个关键词“document.write”和“eval”。

“document.write”在JAVASCRIPT是一条打印语句，而“eval”指的是eval()函数，这个函数可以把一个字符串当作一个JavaScript表达式一样去执行它。如果在JS的加密代码中碰上document.write，我们一般把它改成“alert”，如果遇到“eval”一般改成“document.write”。我们首先吧eval改为document.write然后运行看看结果：

2Y.IF[pJ)Z^C0 OK！已经初步解密，从最后调用realexploit()这个自定义函数，可以看出。这个就是最近刚出的realplay的漏洞利用网马了。至于里面的unescape加密的部分就不用我解释了吧？最快的办法是复制那部分代码。然后加到百度搜索关键词地址后面即可，http://www.baidu.com/s?wd=，例如document。

这段代码，最快的防翻译办法就是加入上面地址中http://www.baidu.com/s?wd=document，返回的结果是：IXPUB技术博客j[;t)t3T2W9JCj(R"F

CH5lXJS7I0 下面我们一起看看天网被挂过的一个网马：IXPUB技术博客;x+PMcF qd

一堆乱七八糟的，都不知道是什么。如何解读？其实在最快最简单的办法就是浏览这个页面，保存时候选择中欧(ISO)编码就可以了。IXPUB技术博客]"|.hW}{6t8sU5g#}

得到结果：

U:b'r.s!JD9}x}0与此相类似的还有US-ACSII加密方式的网马，也可以通过这个方式来解密。IXPUB技术博客rf`HU"O]

.VYVF-cD'A0 保存时候依然选择中欧(ISO)编码即可得到如下结果：IXPUB技术博客)n)uF;Ki

cdW(Jmk&e-V0 接下来就来看一个有貌似点难度的了。最近黑客防线出的《黑暗网马》使用了火狐里一个人出的加密工具。解密过程需要提供密码，难道是为了防止修改？看起来有点类似md5加密，难道真的不可逆？1K的网马可以加密到15K甚至更大，太可怕了吧？让我们一起来把他解密出来吧！IXPUB技术博客u/I1on)B

在长长的代码最后我们看到了IXPUB技术博客}-Y2M"`%f P3f9M H0r
      var pass="TEST.WWW.CUTEQQ.CN";
J$N tIh-j.{5Dj0      if(pass){IXPUB技术博客#V`.XX:U
        pass=unescape(pass);IXPUB技术博客#^Hq!Pa
        var cuteqq,cuteqq2,cuteqq3;
N{aOdZ0        cuteqq=XOR(unescape(Qq_784378237),STR.md5(pass));IXPUB技术博客5h-@Z1{[K#ZPg
        cuteqq2=XOR(unescape(Qq784378237),STR.md5(pass));IXPUB技术博客$CE'] n T1Y2~\?c2y
        cuteqq3=cuteqq+www_cuteqq_cn_s+cuteqq2;IXPUB技术博客nU!k/Y}*g`
        document.write(cuteqq3);IXPUB技术博客(e4yeMen&W T
        return(false);
VN_%^] k!yzfI0      }IXPUB技术博客"`7_VZ2xfM6I u

/o"zz,f.u`(J,JpV0 意思就是调用pass验证函数，如果为真，就继续执行里面的内容。XOR是运算符，对两个表达式进行逻辑“异或”运算。这里就不详细了解了。关键是最后的Document.write(cuteqq3)了解网页代码的人就知道这段具体的意思就是，如果密码验证正确。就输出cuteqq3这个函数里的内容。当我们遇到document.write的时候我们一般把它改成“alert”得到初步解密：IXPUB技术博客&sx \9ad5}R-l!og1W

DlDcBm,en0    这里我们就遇到一个问题。Alert根据里显示器的大小显示内容。无法完整显示出内容。怎么办？我们引入一段javascript代码：document.getElementById('textfield').value=cuteqq3;替换掉原来的document.write(cuteqq3);然后在页面的</head>IXPUB技术博客,xCE2pJo
<body>和<script></script>之间添加一段，效果如下：
P ? AP2l0    <html>
4o\;lI9Hcm0    <head>
| t7~/Q5q"b&?W0    <title>网马</title>IXPUB技术博客\r eQ-q-T%Z:x
    </head>IXPUB技术博客3L-U$b2i4gg0\#e2J
    <body>IXPUB技术博客4S.a e9[Qt2]
    <form. id="form1" name="form1" method="post" action="">
/l+w}*E(t0    <label>IXPUB技术博客0Xpz'm&S_/I
    <textarea name="textfield" cols="100" rows="50"></textarea>IXPUB技术博客!}BXK0XS
    </label>IXPUB技术博客UR*^h2`BmV
    </form>IXPUB技术博客n%x3{jr#R)R
    <script>IXPUB技术博客1x.^[b3?9b
    ….这里省略解密部分
+lk\X6D7xm0    </script>
U&qe"Uu0    这里的意思是建立一个文本框，然后吧刚才的cuteqq3的内容赋值给文本框，Textfield是文本框的名称。可以自己修改。但是必须修改document.getElementById('textfield').value里对应的名称，再次运行刚才的网马得到结果：

~7OB4aj5{6U2j0刚才加密过代码大小是：IXPUB技术博客#f-P'q+HOL4YK;O

-SI#@/@&E8r+[:o(m0 解密后是：

7p3QK6nzf0 至于里面的\x72\x65\x73\x70\x6F\x6E\x73\x65\x42\x6F\x64\x79这样的代码，我们就可以用简单的办法突破了。IXPUB技术博客 Xe"}yt'V @nRU

ur|;I2]$F~B\0    十六进制转义字符串如下:
_S)gB T[*QV { Y.](B0    <SCRIPT. LANGUAGE="JavaScript">
zZ Vqp7F*RbTi0    alert("\x72\x65\x73\x70\x6F\x6E\x73\x65\x42\x6F\x64\x79")
"cR laD#S6a0gY0    </SCRIPT>

    就可以显示出来了，顺便说下。刚才的加密页面里用到了防止查看源代码的技术。就是适用下面的代码IXPUB技术博客w-YtwoODs
    <noscript>
8f8Ns4e6obX db0    <iframe. src=*>
7@$BlJ.av |3]{0    </iframe>
8R{XaAP }0    </noscript>IXPUB技术博客j1P~'~C#B Z%Z

*L}9^8d;g7h%mZ$?{o+v0 这里的noscript元素用来定义在脚本未被执行时的替代内容（文本），此标签可被用于可识别<script>标签但无法支持其中的脚本的浏览器。但当浏览器支持javascript脚本时，就起到隐藏noscript标签中间内容的作用，所以导致无法查看源代码。很多时候我们要盗取别人的网马的时候就会遇到这样的问题，怎么办呢？简单！我们前面说道，所有网马要被执行都要先转换为浏览器可以识别的代码，另外，网马执行的同时也是要保存到浏览器的缓存中的。默认位置是：C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files，打开你要盗取的网马的页面前先清空下你的IE缓存，然后刷新网马页面，就会发现网马乖乖的躺再里面了！（本地测试的网页是不会保存到缓存的所以这里不截图了）

:i1KUj2]/O&R0X0下面我们再来看一种加密方式

y p2jV/zk0 这个是申通快递被挂马的时候抓到的，后来无意中得知这个加密方式用到的是JS混淆，http://www.cha88.cn/safe/JSencode.php这个网站有这个加密方式，但是没有解密方式。怎么办？简单！IXPUB技术博客r+],[[@&r*UZ#V

*b+EeM4J_zR({#H0 大家一起看看最后这段代码：IXPUB技术博客*D|'`Pc~

(mq2lj/o#l C0zeB#D0 t=utf8to16(xxtea_decrypt(base64decode(t), '\x64\x63\x75\x6d\x65\x6e\x74'));//对t数组进行提取、重组、解密处理IXPUB技术博客:O,EL9|7x^"I

window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x77\x72\x69\x74\x65"] (t);//输出加密后的t的内容

是不是有什么感觉？觉得像什么？

!LX&a/jd0    我们把\x64\x6f\x63\x75\x6d\x65\x6e\x74和\x77\x72\x69\x74\x65分别用我们刚才的alert的办法解密出来，他们分别对应的是document和write，也就是说最后这2行的意思就是对t数组进行提取、重组、解密处理并输出最后正确的结果。知道这个我们就很容易理解了,所有网马到最后为了输出让浏览器识别，都要进行最后的解密输出。通常就是document.write和eval里的内容了。那么我们用刚才的document.getElementById('textfield').value=t;替换掉window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x77\x72\x69\x74\x65"] (t);并再页面顶端的<body>下面加入如下代码：
9{sZdC r)^Z0    <form. id="form1" name="form1" method="post" action="">IXPUB技术博客D9Zy MW:v
    <label>
f\&V$G@Z~B0    <textarea name="textfield" cols="100" rows="50"></textarea>
    </label>
)ce$V-r0a0    </form>

再次运行网马。即可得到第一层解密的结果：

?@ XzgC [v0 这还不是我们要的最终结果。还记得上面讲过的？遇到eval就替换为alert：IXPUB技术博客U6Ycys&z5a9Y

到的就是解密的结果，点下窗口标题，然后Ctrl+C快捷键，复制下，然后粘贴出来，就可以得到代码了！
2kT;q'P,a#ib@6T szfT0 顺便提下最近比较流行的溢出型网马的解密方式：var shellcode = unescape("邐"+"邐"+IXPUB技术博客xWoiT_Q

这样的代码其实是可以翻译成明文的，这里使用的加密方式是将ASCII转换为unescape，对应解密方式就是反过来啦，借助工具IXPUB技术博客)O6U1E'h-n z

    就可以轻易解密了，这样你就可以再没有生成器的时候将别人的网马改为自己的了！IXPUB技术博客zN'z}x
无意中猎取到一个Oday的话，就happy了O(∩_∩)o…
wuFa!I$@(i6e'A0    最后终结：
/a;hIw(_0    我们适用到的几个关键词和办法：
(Bt{(yi0    关键词：
ae]IN1gp7p0    1. document.write
zkjj6o2O4lh6u0    2. evalIXPUB技术博客tZ4u!Ph.Ea
    3. alert
7D!J1lN.}'B)u!A\0    4. <noscript>IXPUB技术博客}G9Z[nK4RV
    <iframe. src=*>
a GW5Dtitq)I0    </iframe>
ST5pY&E6G"Yh^0    </noscript>
G'Y$jVq&TC0    5.document.getElementById('textfield').value=t;

    <form. id="form1" name="form1" method="post" action="">IXPUB技术博客"D(tI3O0w [
    <label>IXPUB技术博客T c!W)AF|
    <textarea name="textfield" cols="100" rows="50"></textarea>IXPUB技术博客C9rp)Y%i(C
    </label>
8l9AQ5a`%r0    </form>
z ~D8SM?2I8TN*n4Q0    用法：IXPUB技术博客P4di4H @Q
    碰上document.write，我们一般把它改成“alert”，如果遇到“eval”一般改成“document.write”，遇到alert无法显示完整代码时适用document.getElementById('textfield').value=t;将他赋值给一个文本框，然后再<form. id="form1" name="form1" method="post" action="">
4h,@{z[0    <label>
#YA,E CX}t%s\%`0    <textarea name="textfield" cols="100" rows="50"></textarea>IXPUB技术博客jf(D s dkS
     </label>
;QUpj Z,}5^7IBC0    </form>
T8\d KA?^or}0    表单中显示出来，如果遇到使用了IXPUB技术博客/E+j}Iz8jG/c
    <noscript>IXPUB技术博客KW!h2Rc i
    <iframe. src=*>
k4? Fq!IU;n0    </iframe>
1P]e1T1Bt1LwA+B0    </noscript>
k J!kVgW0N0    而无法显示网页代码的。就到IE缓存中寻找被保存到本地的网马文件，用我提供的办法应该可以解开绝大部分的网马了，
nB6b#f\{qSX0希望大家看完知道不是盲目的套用，而是可以举一反三！这样才能不断进步。没有你做不到的，只有你想不到的！