可视jpg后缀的木马两只 过部分杀软

欧阳宣

BEST
双击没反应

pipixia1234

AVG的web防护杀
JPG:PHPAgent-B [Trj]

wk2534425660

我只想知道这种毒是怎么生成的？

老衲洗头用飘柔

360kill图片2，就是那张美女图片，百度那张miss，没双击

川建国代理人

wk2534425660 发表于 2020-7-21 14:55
我只想知道这种毒是怎么生成的？

通俗来说就是将一张正常的png或者jpg格式的图片文件中嵌入php编写好的木马代码，但是一般不会是很长的代码，不然原图片就因格式错误而且无法打开，每个图片都有可能是一句话木马的镶嵌母体，打开图片后，其中代码就会就会运行。
举个例子：

1. program exe2jpg;
   
2. uses
   
3. Windows,
   
4. SysUtils;
   
5. var len,row,col,fs: DWORD;
   
6. buffer: array[0..255]of char;
   
7. fd: WIN32_FIND_DATA;
   
8. h,hw: THandle;
   
9. begin
   
10. if (ParamStr(1)<>'') and(ParamStr(2)<>'') then begin //如果运行后没有两个参数则退出
    
11. if FileExists(ParamStr(1)) then begin
    
12. FindFirstFile(Pchar(ParamStr(1)),fd);
    
13. fs:=fd.nFileSizeLow;
    
14. col := 4;
    
15. while true do begin
    
16. if (fs mod 12)=0 then begin
    
17. len:=fs;
    
18. end else len:=fs+12-(fs mod 12);
    
19. row := len div col div 3;
    
20. if row>col then begin
    
21. col:=col+4;
    
22. end else Break;
    
23. end;
    
24. FillChar(buffer,256,0);
    
25. {一下为JPG文件头数据}
    
26. Buffer[0]:='B';Buffer[1]:='M';
    
27. PDWORD(@buffer[18])^:=col;
    
28. PDWORD(@buffer[22])^:=row;
    
29. PDWORD(@buffer[34])^:=len;
    
30. PDWORD(@buffer[2])^:=len+54;
    
31. PDWORD(@buffer[10])^:=54;
    
32. PDWORD(@buffer[14])^:=40;
    
33. PWORD(@buffer[26])^:=1;
    
34. PWORD(@buffer[28])^:=24;
    
35. {写入文件}
    
36. hw:=CreateFile(Pchar(ParamStr(2)),GENERIC_WRITE,FILE_SHARE_READ or
    
37. FILE_SHARE_WRITE,nil,CREATE_ALWAYS,0,0);
    
38. h:=CreateFile(Pchar(ParamStr(1)),GENERIC_READ,FILE_SHARE_READ or
    
39. FILE_SHARE_WRITE,nil,OPEN_EXISTING,0,0);
    
40. WriteFile(hw,buffer,54,col,0);
    
41. repeat
    
42. ReadFile(h,buffer,256,col,0);
    
43. WriteFile(hw,buffer,col,col,0);
    
44. untilcol<>256;
    
45. WriteFile(hw,buffer,len-fs,col,0);
    
46. CloseHandle(h);
    
47. CloseHandle(hw);
    
48. end;
    
49. end;
    
50. end.

复制代码

Black_lonely

是为了利用上传漏洞做得图片吧，传上去做一个后门，然后以php语言去执行。我差点以为用图片查看器打开就会中毒呢

川建国代理人

Black_lonely 发表于 2020-7-21 16:14
是为了利用上传漏洞做得图片吧，传上去做一个后门，然后以php语言去执行。我差点以为用图片查看器打开就会 ...

我虚拟机测试了多次，打开后并系统没有明显的变化，进程从表面上看没有明显变化，现在正在研究它对系统的危害。

蝙蝠BATGOD

骚护士实体机双击KILLEd
app/gen-cb

304892

360 kill

zay365

Webshell?