swf木马分析

显示全部楼层 · 发表于 2009-5-9 14:44:19

htm我看得头晕完全找不到方向罢了罢了...

显示全部楼层 · 发表于 2009-5-9 14:46:06

原帖由 lingbo110120 于 2009-5-9 14:44 发表
htm我看得头晕完全找不到方向罢了罢了...

其实不用看懂。只要知道几个关键的就够了

显示全部楼层 · 发表于 2009-5-9 14:51:01

此法只针对早期未经xor加密的swf
对于xor加密的swf是得不到明文的

显示全部楼层 · 发表于 2009-5-9 14:54:33

神秘的BZ出现了[:27:]

显示全部楼层 · 发表于 2009-5-9 16:28:40

一参考方法

显示全部楼层 · 发表于 2009-5-11 08:30:57

其实我个人觉得...一般情况下...用X祥的A>PDF/CWS/Zlib Extractor就可以了...

只是这死X祥去掉了外部程序解密，因此有些SWF有大量冗余数据时（就是在SWF末尾加上一堆无用字符），解密会卡死

所以如果发现下载的SWF大小＞2KB时（这类SWF原始大小一般是17KB，解密出来会变成18M）

就得使用SWFDecompiler来解密了..
如果SWF有加密的话...就得用A>XOR密钥寻找功能

如果又加密，又有冗余数据...呃...那就先用SWFDecompiler解压..然后目录下出现一个~*.fla的文件..

用Redoce手动打开并使用A>XOR密钥寻找就可以了

PS：SWFDecompiler最好用较新版本（4.5以上的）...版本较老的解压大量冗余数据时也会发生错误...

另：X祥的SWF解密器里有一个自动判断是否有冗余数据的功能，如果解密SWF时弹出可能有大量冗余数据，就别用它解密了

显示全部楼层 · 发表于 2009-5-15 15:33:23

学习中1感谢分享！

显示全部楼层 · 发表于 2009-5-15 16:21:39

那个问题N多人抱怨来着的。。我也木办法了。。

显示全部楼层 · 发表于 2011-4-4 22:16:58

会简单的用redoce解，不过需要反编译成fla的话swfdecompiler又不免费
就是碰到包含冗余数据的时候就尴尬了
顺便膜拜ls n多大牛

[原创] swf木马分析

回复 9楼 935623508 的帖子

评分

回复 13楼 promised 的帖子

评分

回复 16楼 aarwwefdds 的帖子