产品分类

公司简介

上虞市宏兴针织有限公司,是一家拥有进出口自营权,专业生产出口中高档单双面针织面料、时装面料、女装面料、针织坯布、双面针织布、单面针织布、罗纹布、圆筒布料等系列产品的公司,产品主要包括:毛圈(巾)布(二线纬衣,三线纬衣,绒布,天鹅绒等)、复合布、衬垫布、大小循环彩条布、无缝圆筒布(门幅5英寸-40英寸)、提花布、网眼布、汗布、 棉毛布等, 采用丝、毛、麻、棉、晴、涤、植物纤维(天丝,大豆,树脂,莫代尔等)和各种混纺原料,远销韩国、日本和欧美等国家及地区。

成员博客

资源与链接

访问数:1986065

本港台直播开奖结果

使用Ghidra分析phpStudy后门香港本期开奖结果


更新时间:2019-11-05  浏览刺次数:


  这次事件已过去数日,该响应的也都响应了,虽然网上有很多厂商及组织发表了分析文章,但记载分析过程的不多,我只是想正儿八经用 Ghidra 从头到尾分析下。

  从上面的搜索结果可以看到文件中存在三个“eval”关键字,现在用 Ghidra 载入分析。

  在 Ghidra 中搜索下:菜单栏“Search” “For Strings”,弹出的菜单按“Search”,然后在结果过滤窗口中过滤“eval”字符串,如图:

  从上方结果“Code”字段看的出这三个关键字都位于文件 Data 段中。随便选中一个(我选的“@eval(%s(‘%s’));”)并双击,跳转到地址中,然后查看哪些地方引用过这个字符串(右击,References Show References to Address),操作如图:

  可看到这段数据在 PUSH 指令中被使用,应该是函数调用,双击跳转到汇编指令处,然后 Ghidra 会自动把汇编代码转成较高级的伪代码并呈现在 Decompile 窗口中:

  在翻译后的函数 FUN_100031f0 中,我找到了前面搜索到的三个 eval 字符,香港本期开奖结果,说明这个函数中可能存在多个后门(当然经过完整分析后存在三个后门)。

  而多层 if 嵌套阅读起来会经常迷路。总之 Ghidra 翻译的代码只有反复阅读后才知道是干嘛的,在理解这类代码上我花了好几个小时。

  变量 puVar8 是作为累计变量,这段代码像是拷贝地址 0x1000d66c 至 0x1000e5c4 之间的数据,于是选中切这行代码:

  把处理后的文件保存为 p1。通过 file 命令得知文件 p1 为 Zlib 压缩后的数据:

  后门代码在地址 0x1000d028~0x1000d66c 中,提取和处理方法与第二个后门的一样。找到并提出来,如下: