好友
阅读权限10
听众
最后登录1970-1-1
|
本帖最后由 cokago 于 2009-3-6 14:03 编辑
ShellCode 辅助分析工具 ExploitHelper
把相关样本通过按钮打开或拖拽到程序界面, 此时 Start Offset 和 End Offset 分别显示为 0 和 文件大小．
PDF Inflate 按钮用于解密 PDF exploit 样本中用 zlib 算法加密的部分,不需要修改 Start Offset 和 End Offset。 点击后, 会在当前目录下生成文件夹 [FileName]_decode, 并将所有加密部分解密后以文件名 [FileName]_[N] 保存在这个文件夹下。
Script->ShellCode 按钮将脚本中构造的如下形式的 ShellCode 转化为二进制形式的 ShellCode:
shellcode = window["unescape"]("%u90" + "90" +
"%u90" + "90" +
"%u54eb%u758b%u8b3c%u3574" +
"%u0378%u56f5%u768b%u0320" +
"%u33f5%u49c9%uad41%udb33" +
"%u0f36%u14be%u3828%u74f2" +
...
此时需要指定 Start Offset 和 End Offset 为包含脚本 ShellCode 的范围,只要保证范围内不包含除构造 ShellCode 外的 "%" 就行, 如上例中 Start Offset 就可以不用修改, 0 就行. 点击后会在当前目录下生成二进制形式的 ShellCode 文件 [FileName]_sc.
ShellCode->PE 按钮将二进制形式的 ShellCode 转化为 PE 文件,便于调试.此时需要精确指定 Start Offset 和 End Offset. 点击后会在当前目录下生成 PE 文件 [FileName]_scexe. |
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
|
|
|
|
|
|
发表于 2009-3-6 11:57
