恶意代码分析实战-实验15

本文最后更新于：2022-01-13 下午

Lab 15-1

分析

使用IDA打开程序，看到当前的代码，有几个红色的地方，此时已经被混淆过，让IDA的识别出现了问题。

按D将指令转为数据，然后跳过E8按C，重新构造代码，即可看到正确的汇编代码。

重新构造了汇编代码之后，分析一下程序的流程，首先是检查是否携带参数，这里注意下，argc默认是1，携带一个参数就是2，然后这里的ebp+8是argc参数稍微说明一下。

首先main有三个参数，argc，argv，envp，此时形成栈帧，那么当前栈的ebp+4就是返回地址，再下面就是压入栈的参数了，参数从右向左入栈，那么ebp+8就是argc。这里拿OD动调的来看一下，就明白了。

继续分析，如果参数不对的话，就会跳转到0x40105E处，这里是输出错误的情况

然后是参数的比较，看到这里是ebp+c，刚才已经分析过了，这就是main函数的第二个参数argv，再看它赋值给eax之后，又是eax+4，这是argv是个数组，如果带参数的话，那么argv[1]才是参数。

看到这三处都是在比较参数的指定位置是否是指定的字符，也就是pdq，那么想要输出正确的条件，就需要输入参数pdq。

问题

1. 这个二进制程序中使用了何种对抗反汇编技术？

通过在正确的语句前，加一个机器码0xE8，这是call指令的机器码，它会将后面的代码识别称为要call的地址，依次来欺骗反汇编。

2. 这个二进制程序使用了什么流氓机器码来欺骗反汇编过程？

0xE8

3. 这种对抗反汇编技术被使用了多少次？

一共使用了5次

4. 什么命令行参数会让程序输出“Good Job”？

pdq

Lab 15-2

分析

使用IDA打开程序，看到部分的代码被识别成为了数据，重新识别一下。

发现混淆有E8、E9、EB这三个十六进制值，分别是call指令和jmp指令，分别对应的重新识别即可。

还有这个地方，实际上就是书中说的，一个字节用在了两个汇编指令之中。首先正常执行，会执行mov ax, 5EBh、xor eax, eax、jz short near ptr loc_4012E6+2这三个语句此时注意这个跳转指令是跳到loc_4012E6+2这个地方，这里也就是4012E8，看IDA中并没有这个地址。

实际上这个地址的开始就是EB这个字节的开始，然后后面是05就是一个jmp指令了，第一次EB是作为mov ax, 5EBh，中给ax赋值的值，第二次是作为跳转指令。

重新构造了指令之后，框选所有的代码，按下P即可重新创建函数，再按F5就可以查看伪代码。

看到整体的流程，在初始化网络之后，会获取hostname然后进行处理，主要是如果是字母Z会替换成A，如果是z会替换成a，如果是数字9会替换成0，其他的则会在原来ascii码的基础上加一。这个变化后的值会作为USER-AGENT，打开一个URL。读取网页内容，再其中搜索Bamboo::后的内容。