Word型的ShellCode

曹军分析了导致去年“万珍”病毒的Word 2000溢出漏洞细节,但并没涉及漏洞的具体利用;第4期文章中,黑防讨论了生成WMF木马的ShellCode的设计与实现。由于自身的特点,Word木马的设计与前者有较大的区别,下面由我对此进行一下分析。

预备知识

讨论ShellCode之前,我们需要掌握几个预备知识:

1.诸如Doc、PDF、WMF、Jpg等文件内容解析过程中引发的漏洞,我们都称之为文件解析漏洞。由于漏洞利用的载体是文件,因此这类漏洞最大的特点就是可以制作成木马。

2.通过文件解析漏洞制作木马的方法有3种:第一种是通过ShellCode来完成全部木马功能,缺陷是往往可能受到ShellCode字节数的限制;第2种是通过ShellCode到指定的URL下载并执行木马文件,缺陷是由于访问网络而可能受到防火墙的限制;第3种是在文件中直接绑定EXE木马文件,这种方式比较隐蔽,ShellCode只负责生成并运行木马文件,复杂的网络通信与系统访问功能都由木马文件来完成。本文中采用第三种方法进行操作。

3.同WMF木马的制作一样,通过copy命令即可在Doc文件中绑定EXE文件: copy /b old.doc+aa.exe new.doc。事实上上,绑定两个文件大多可以通过该命令来完成。

4、与WMF木马基于IE传播不同,Word木马则可能有多种传播形式:E-mail、QQ、IE等。因此,通过在IE临时文件夹(TIF)中查找文件的思路就不可靠了。

ShellCode设计思路 Continue reading “Word型的ShellCode”