-
-
[原创]分析DoSWF处理过的SWF
-
发表于: 2014-8-21 23:50
-
最近看到不少SWF是被DoSWF处理过的，给静态分析带来了不少麻烦。尤其是其中的op_li系列的指令，也阻碍了将反编译的code执行下去。看到网上有不少人都问到如何处理这一类sample，下面将自己总结的方法写下来，希望能够有兴趣的朋友共享。
本人使用的方法是基于这样的假设：无论flash packer怎么混淆，最后总会通过loadBytes将原始flash file加载起来。那么，在Flash Player的进程空间中一定可以搜寻到这样的flash file。这种方法并不局限于解决DoSWF混淆的SWF文件，其他的packer也可以对抗。有兴趣的朋友，可以试试。
思路有了，就具体实施。使用Flash Player将混淆后的flash file打开，搜寻FWS/CWS/ZWS起始的memory，就可以找到（可以使用你喜爱的任何一款二进制编辑工具都可以，甚至在windbg里使用s直接search也可以）。FWS的flash file没有经过压缩，文件size可以通过指定的size来确认，但是CWS/ZWS就麻烦许多。这里就不赘述了，因为我们有更方便的工具来解决这些问题。另外多说一句，在搜索前，看看当前flash file的版本信息很有必要，因为绝大多数情况下，混淆以后的SWF不会修改version信息，这就便于我们过滤掉一下干扰信息。
推荐使用FFDec，开源的Flash Decompiler，47aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3k6J5k6h3g2Q4x3X3c8V1k6h3y4G2L8i4m8A6L8r3g2J5i4K6u0W2j5$3!0E0i4K6u0r3k6X3I4S2M7$3S2Q4x3V1j5`.。后面，我们就使用这个工具完成上面的思路。
打开混淆后的flash file
可以看到SWF version是11，那么后面，我们在搜索到的SWF中多留意这个了。简单看看被DoSWF处理以后的SWF是长成什么样。
有价值的东西被藏在binaryData里，这些code的主要作用就是从binaryData中解析出最终的那个SWF，并加载进来。
下面这段code就是影响静态分析的根源，如果能突破这里，静态分析也是可以搞定的。当然，还是有方法的。虽然AVM specification里没有对这些指令做介绍，但是，Tamarin code里已经实现了，有兴趣的可以自己下载下来看看。
下面开始干正事了！
点击左侧目录结构的顶层.swf文件，可以在Process Explorer中看到SWF已经运行起来了。
继续搜索这个进程空间，当然不是用二进制编辑器，而是使用FFDec自带的搜索功能。
双击左侧的FlashPlayer.exe，可以从这个进程空间搜寻到所有的SWF，列于右侧，如下图：
我们可以看到很多SWF，有不同版本的，其中version=11的还非常多。其实，这就是DoSWF的混淆策略，为了防止很容易在memory中找到真实的SWF，创建了许多garbage SWF，这个可以在混淆后的SWF code里看到。
将上述Version=11的SWF逐个过一遍，就可以找到真实的SWF，当然，为了图省事，你可以写一个简单的过滤工具，检查constant pool中是否包含”940K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3c8G2M7%4N6X3i4K6u0W2j5$3!0E0i4@1f1J5i4K6R3H3i4K6W2p5i4@1f1$3i4K6R3^5i4K6V1$3i4@1f1^5i4K6R3H3i4K6R3#2i4@1f1#2i4K6R3#2i4@1t1$3i4@1f1@1i4@1u0n7i4K6V1$3i4@1f1$3i4K6W2o6i4K6R3&6i4@1f1%4i4K6V1@1i4@1p5^5i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1@1i4@1u0r3i4@1p5I4i4@1f1$3i4K6R3I4i4@1q4r3i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1#2i4@1t1H3i4K6R3$3i4@1f1#2i4K6R3#2i4@1t1$3i4@1f1^5i4@1u0r3i4K6R3%4i4@1f1$3i4@1u0n7i4@1p5@1i4@1f1$3i4K6S2q4i4K6R3&6i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1#2i4K6R3&6i4@1p5&6i4@1f1@1i4@1t1^5i4K6S2n7i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1#2i4@1t1H3i4@1t1I4i4@1f1$3i4K6V1^5i4@1q4r3i4@1f1%4i4K6W2o6i4K6W2r3i4@1f1#2i4@1q4q4i4K6W2q4i4@1f1%4i4K6W2m8i4K6R3@1f1#2N6r3i4@1f1@1i4@1u0m8i4K6R3$3i4@1f1K6i4K6R3H3i4K6R3J5
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不对之处，多谢指教！如果可以的话，能否将此类sample共享一份，一起学习。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
有联系方式不，一起学习一下 |
