聚合Vip网络社区 集合 HK共享吧 合购VIP等精品教程

 找回密码
 立即注册

QQ登录

只需一步,快速开始

关闭
聚合Vip社区
欢迎QQ或来电咨询
工作时间:周一至周五
AM9:00-PM22:00
淘宝店铺 淘宝皇冠店铺
论坛邀请码
查看: 3493|回复: 53

最详细的文字配图教你如何做分析DoSWF处理过的SWF

  [复制链接]

1930

主题

20

听众

8875

积分

管理员

Rank: 9Rank: 9Rank: 9

  • TA的每日心情
    慵懒
    2015-8-3 14:17
  • 签到天数: 8 天

    [LV.3]偶尔看看II

    发表于 2015-4-29 11:26:00 |显示全部楼层

    马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

    立即注册 已有账号?点击登录 或者 用QQ帐号登录

    x
    免责声明:以下资源由聚合VIP资源网整理提供,本资源来源于网络仅供用户学习交流之用,版权归资源方所有,
    本网站不承担任何法律风险,请自觉在下载学习后24小时内删除,不得用作商业用途;如果喜欢请购买正版资源。谢谢
    思路有了,就具体实施。使用Flash Player将混淆后的flash file打开,搜寻FWS/CWS/ZWS起始的memory,就可以找到(可以使用你喜爱的任何一款二进制编辑工具都可以,甚至在windbg里使用s直接search也可以)。FWS的flash file没有经过压缩,文件size可以通过指定的size来确认,但是CWS/ZWS就麻烦许多。这里就不赘述了,因为我们有更方便的工具来解决这些问题。另外多说一句,在搜索前,看看当前flash file的版本信息很有必要,因为绝大多数情况下,混淆以后的SWF不会修改version信息,这就便于我们过滤掉一下干扰信息。
    推荐使用FFDec,开源的Flash Decompiler,后面,我们就使用这个工具完成上面的思路。
    打开混淆后的flash file

    可以看到SWF version是11,那么后面,我们在搜索到的SWF中多留意这个了。简单看看被DoSWF处理以后的SWF是长成什么样。

    有价值的东西被藏在binaryData里,这些code的主要作用就是从binaryData中解析出最终的那个SWF,并加载进来。
    下面这段code就是影响静态分析的根源,如果能突破这里,静态分析也是可以搞定的。当然,还是有方法的。虽然AVM specification里没有对这些指令做介绍,但是,Tamarin code里已经实现了,有兴趣的可以自己下载下来看看。

    下面开始干正事了!
    点击左侧目录结构的顶层.swf文件,可以在Process Explorer中看到SWF已经运行起来了。

    继续搜索这个进程空间,当然不是用二进制编辑器,而是使用FFDec自带的搜索功能。

    双击左侧的FlashPlayer.exe,可以从这个进程空间搜寻到所有的SWF,列于右侧,如下图:

    我们可以看到很多SWF,有不同版本的,其中version=11的还非常多。其实,这就是DoSWF的混淆策略,为了防止很容易在memory中找到真实的SWF,创建了许多garbage SWF,这个可以在混淆后的SWF code里看到。

    将上述Version=11的SWF逐个过一遍,就可以找到真实的SWF,当然,为了图省事,你可以写一个简单的过滤工具.


    回复

    使用道具 举报

    17

    主题

    0

    听众

    701

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-4-29 11:26:02 |显示全部楼层
    有一种回帖叫做抢沙发
    回复

    使用道具 举报

    9

    主题

    0

    听众

    503

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-4-29 11:29:41 |显示全部楼层
    路过 帮顶 嘿嘿
    回复

    使用道具 举报

    17

    主题

    0

    听众

    422

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-4-29 11:36:14 |显示全部楼层
    围观 围观 沙发在哪里!!!
    回复

    使用道具 举报

    12

    主题

    0

    听众

    450

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-4-29 14:00:32 |显示全部楼层
    不错,支持下
    回复

    使用道具 举报

    14

    主题

    0

    听众

    464

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-4-29 14:16:31 |显示全部楼层
    广告位,,坐下看看
    回复

    使用道具 举报

    14

    主题

    0

    听众

    674

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-4-29 19:36:14 |显示全部楼层
    好困啊
    回复

    使用道具 举报

    15

    主题

    0

    听众

    520

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-4-29 20:21:38 |显示全部楼层
    占位编辑
    回复

    使用道具 举报

    15

    主题

    0

    听众

    448

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-4-30 00:56:44 |显示全部楼层
    是爷们的娘们的都帮顶!大力支持
    回复

    使用道具 举报

    20

    主题

    0

    听众

    510

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-4-30 02:32:34 |显示全部楼层
    沙发位出租,有意请联系哦
    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    回帖奖励

    [详情]

  • * 每天自己主题被回复3次可获得额外2金钱奖励。
  • * 每天回复他人主题5次可获得额外3贡献的奖励。
  • * 奖励每天都可领取,一定要多参与论坛讨论哦。
  • * 同一主题的重复回复不计。
  • 手机版|Archiver|聚合Vip网络社区 ( 鲁ICP备14030129号-2 )Discuz超级管家   

    GMT+8, 2018-2-20 07:45 , Processed in 0.676040 second(s), 57 queries .

    Powered by Discuz! X2.5

    © 2001-2012 Comsenz Inc. Template by A3cn

    回顶部