2017-2018-2 20155315《网络对抗技术》免考二:文件捆绑

原理

  • 文件捆绑也就是将正常文件A和恶意代码文件B捆绑成第三方文件C。当用户点击文件C时,用户看到的是文件A的执行结果,而文件B则在后台悄悄执行。
  • 用winrar的简单功能,创建自解压可执行文件,实现将txt等文件与病毒程序捆绑,构成恶意附件。

UltraEdit

  • UltraEdit 是一套功能强大的文本编辑器,可以编辑文本、十六进制、ASCII 码,完全可以取代记事本(如果电脑配置足够强大),内建英文单字检查、C++ 及 VB 指令突显,可同时编辑多个文件,而且即使开启很大的文件速度也不会慢。

    • 十六进制编辑器可以编辑任何二进制文件,并显示二进制和 ASCII 视图
    • 提取出来的Win32常用文件的文件头
    文件 类型 文件头
    JPEG jpg FFD8FF
    PNG png 89504E47
    GIF gif 47494638
    Adobe Photoshop psd 38425053
    XML xml 3C3F786D6C
    HTML html 68746D6C3E
    Email [thorough only] eml 44656C69766572792D646174653A
    MS Word/Excel .xlsor.doc D0CF11E0
    Adobe Acrobat pdf 255044462D312E
    Windows Password pwl E3828596
    ZIP Archive zip 504B0304
    RAR Archive rar 52617221

WinHex

  • WinHex 是一个专门用来对付各种日常紧急情况的工具。它可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。同时它还可以让你看到其他程序隐藏起来的文件和数据,是一款非常不错的 16 进制编辑器。

    • 提取的exe、elf文件的文件头
    文件 类型 文件头
    Win32 Executable exe;dll;drv;vxd;sys;ocx;vbx MZ
    Win16 Executable exe;dll;drv;vxd;sys;ocx;vbx MZ
    ELF Executable elf;; 0x7F454C4601010100

过程

捆绑

  • 将我们的病毒程序右键选择压缩到文件
  • 选择创建自解压格式压缩文件,选择高级选项卡,点击自解压选项在常规中选择在当前文件夹中创建baidu文件夹
  • 在设置中选择提取后运行我们的病毒程序
  • 点击确定后,生成的是一个新的应用程序,双击生成的程序,提示要安装自解压文件。点击安装之后,能看到生成了一个baidu文件夹。双击文件夹即运行了我们的病毒文件。
  • 整个过程还是比较顺利的,为了使伪装更为真实,我把xampp中的readme_de.txt与病毒文件一起进行捆绑,将程序设定为提取后运行。重复上述过程将模式设定为全部隐藏,这样就不需要再点击安装了,更加隐蔽。
  • 文本和图表选项卡中添加xampp图标,点击确定,看起来更真实了。
  • kali使用exploit/multi/handler模块进行监听,双击这个程序,可以看到回连成功。

UltraEdit检测

  • 使用UltraEdit打开捆绑后的文件

  • 同样的,因为文本文件没有文件头,将程序与图片进行捆绑,同样可以在ASCII码中看到捆绑的图片与程序。

WinHex检测

  • 使用WinHex打开捆绑后的文件

  • 当程序与文本文件捆绑的时候,不能从编码中看出,换成将程序与图片进行捆绑,可以在ASCII码中看到捆绑的图片与程序。

总结

  • 直接将恶意程序作为邮件附件发送的话,会被邮箱退回。为了不被邮箱识别出来,采用文件捆绑技术,将恶意程序进行伪装在作为邮件附件发送。
  • 点开我生成的自解压程序就自动运行了我们的恶意程序,这让我想到之前从网上下载的程序,似乎也有一些是在打开的同时运行了其他程序。这样的捆绑程序对用户而言是很隐蔽的,如果没有安装杀毒软件的话,可能就会被攻击。所以,为了电脑的安全,还是应该留个心眼,最大可能地都在官方网站下载程序。
  • 如果不确定自己下载的是不是捆绑程序,可以查看属性中的注释,若有捆绑,注释中会标明路径及双击后会运行的程序。

参考资料

posted @ 2018-06-27 20:20  20155315庄艺霖  阅读(423)  评论(0编辑  收藏  举报