手把手一起分析最新Flash样本
手把手一起分析最新Flash样本
Blog: http://blog.sina.com.cn/s/blog_6fc131560100y8nd.html
友情提示： 本文分析的是真实样本，请各位实验时千万千万不要在物理机上操作，务必使用虚拟机，并断开网络连接。
1. 目的
写这篇文章的目的是想简单介绍一下Flash样本分析的流程，以及一些分析Flash样本常用的工具包括自己写的小程序。
本文涉及的内容包括：Flash文件的提取、结构查看、ActionScript的反汇编和反编译、ActionScript中shellcode的定位和提取、shellcode调试。
本文不会涉及对漏洞成因进行分析调试的相关内容。
2. 使用的样本
本文中使用是一个利用CVE-2012-0754漏洞的Flash样本，还算是比较新的Flash漏洞样本。
样本来源是：ContagioDump
这里向大家推荐一下这个blog，该blog经常会放出一些最新的病毒样本，仔细挖掘的话还能找到一些样本的合集，非常有用。
不过国内应该无法直接访问，需要翻墙先。懒得翻墙的同学，我把样本打包传到附件里了，可以直接下载附件。
3. 从Doc中提取Flash文件
下载样本解压后，原始样本在original文件夹中，名为“Iran's Oil and Nuclear Situation.doc”。
等等，不是Flash样本吗，怎么是doc文件？你可能在想LZ是不是发错链接了。
其实真正的Flash样本是嵌在这个doc文件中的，这种手法并不是第一次被使用了，当年CVE-2010-0609（没记错的话）样本也是嵌在Excel文件里流出的。
打开word文档的话最后会有一只貌似熊（??）的谜样生物对你说“Hi~”，LZ觉得好诡异。。。
用16进制编辑器打开word文档，可以看到该文件是OLE SS格式的Office文件，
这种情况下，一般直接搜索字符串“FWS”（未压缩的SWF头部特征）和“CWS”（压缩过的SWF头部特征）就可以定位其中的Flash文件。
我写了一个python小脚本，用来从Office文档中提取内嵌的Flash文件，名为extract_swf.py，使用方式如下：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
