C0nn3R's Blog

APT28 比较经典的一个样本，拿来练练手。本文参考了 [1]、[2] 两篇文章，主要是动手实践一遍，另外再加上一些自己的理解。（样本来源、样本基本信息）

文本记录对 CS 4.2 版本的 32 位 HTTP 分段 beacon 的 shellcode 的分析过程，重点分析其定位 DLL 导出函数的代码。前置知识可以参考这篇文章以及《恶意代码分析实战》第 19 章。

早期复现三好学生师傅的文章《通过 COM 组件 IFileOperation 越权复制文件》可以没有 UAC 确认弹窗就复制文件，但是最近发现又有弹窗了，并且说 Win10 已修复云云。然而实际编译了一下最新版本的 UACME，其中使用 IFileOperation 的方法（如 22、23），仍然可以无弹窗实现向 System32 目录写文件。

• 一道披着 Pwn 外衣的逆向题，有一个溢出点，运行到溢出点，覆盖返回值返回 backdoor 即可
• 程序流图是一棵很漂亮的二叉树，分析一下可以看到溢出点所在的块距离 ret 块中间隔了一个块，而溢出点的前一块有一条边距离 ret 块隔了一块，另一条边指向溢出点块，所以离 ret 块隔了两块。根据这个特点可以找到溢出点所在的块
• 掏出 angr，angr 的 CFG 可以用来分析程序流，但是粒度太细，不是 IDA 那种程序流图。angr-managerment 提供了 SuperCFGNode 可以用来表示像 IDA 一样的代码块
  阅读全文 »

• 双击运行可以发现有缺失的 DLL。打开 IDA 大概看一下，程序流图比较大，有一堆的 throw 和 catch，F5 无法正常反编译，纯静态不好看
• Findcrypt 看一眼有 AES 的 S 盒和逆 S 盒
• 字符串可以看到编译信息，也可以用 DIE 之类的工具看一眼，GCC: (x86_64-posix-seh-rev0, Built by MinGW-W64 project) 8.1.0。于是安装环境，边调边看汇编逆（保留了符号信息，还算比较好看）
  阅读全文 »