<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[Stronger_99的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/Stronger_99</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; Stronger_99]]></copyright><item><title><![CDATA[一些bat的xss实例7-10题]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/114445029</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/114445029</guid><author>Stronger_99</author><pubDate>Sat, 06 Mar 2021 16:26:58 +0800</pubDate><description><![CDATA[第七题
第七题链接
源码：

这一看源码就发现参数是px,试一下

看到这样当然直接去构造尝试弹窗了，
http://px1624.sinaapp.com/test/xsstest7/?px=asdf%27;alert(1)//

发现不行，可以看到特殊字符被进行了转义的处理。这个时候就要去看看这道题有没有将反斜线进行转义的处理了，

在控制台进行测试发现没有对反斜线进行转义，这样就可以闭合掉代码里面的单引号，从而跳出单引号的限制。后面就要想办法吧最后面那个单引号给处理掉。
进行尝试发现都不行，在过程中发现]]></description><category></category></item><item><title><![CDATA[一些bat的xss实例4-5题]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/114379912</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/114379912</guid><author>Stronger_99</author><pubDate>Thu, 04 Mar 2021 22:50:27 +0800</pubDate><description><![CDATA[第四题
第四题链接
源码：

查看源码发现和第三题的源码是一样的，直接就试了一下上一个payload，果然不行。猜测是把运算符全都过滤掉了。并且会弹窗提示错误的输入：

重复第三题的步骤猜了一下参数，结果参数还是px：

解题的核心思想还是构造闭合，把多余的注释掉就可以了。这道题需要用到一个概念是模板字符串，模板字符串中间是可以包含换行的，这道题只需要用模板字符串将中间变为字符串解析，然后再进行一定的构造就可以了。
先写一个模板字符串

先用单引号闭合掉前面的单引号，分号隔开，再写入模板字符串，这样的话就可]]></description><category></category></item><item><title><![CDATA[一些BAT的xss实例1-3题]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/113922002</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/113922002</guid><author>Stronger_99</author><pubDate>Mon, 22 Feb 2021 21:23:24 +0800</pubDate><description><![CDATA[第一题
链接
源码:

location.hash:hash 属性是一个可读可写的字符串，该字符串是 URL 的锚部分（从 # 号开始的部分）。
setTimeout: setTimeout() 方法用于在指定的毫秒数后调用函数或计算表达式。
这道题的关键就在这行代码setTimeout(“aa(’”+x+"’)",100);
Payload：setTimeout(“aa(’”+"’,alert(1),’"+"’)",100);在控制台测试即可成功弹窗。
第二题
链接
源码:

首先获取了location.]]></description><category></category></item><item><title><![CDATA[pikachu漏洞练习平台之暴力破解]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/94468102</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/94468102</guid><author>Stronger_99</author><pubDate>Tue, 02 Jul 2019 18:48:18 +0800</pubDate><description><![CDATA[用到的工具是phpStudy和burpsuite，在pikachu平台下进行实验。

首先需要设置好浏览器的代理，打开phpStudy和burpsuite。

一、基于表单的暴力破解：

在pikachu平台点开暴力破解，先进行抓包



输入账号密码



右键将其发送到intruder



在攻击种类中选择常用的Cluster bomb。



设置好动态变量



设置Payload以及字...]]></description><category></category></item><item><title><![CDATA[熊猫烧香分析]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/90574427</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/90574427</guid><author>Stronger_99</author><pubDate>Sun, 26 May 2019 11:50:03 +0800</pubDate><description><![CDATA[在这里主要分析一下熊猫烧香病毒的初始化部分。

病毒文件可以在看雪里下载。

先对熊猫烧香病毒进行一下手动查杀，由于电脑里的软件在查杀病毒时有滞后性，所以学习手动查杀还是很有必要的。

我们先来排查可疑进程。

先把样本放到虚拟机里面，查看任务管理器发现进程数是26



然后运行病毒样本发现任务管理器消失了，再打开也是一闪而过，那么也就说明这个病毒文件已经对电脑产生了影响。

我们可以利用tas...]]></description><category></category></item><item><title><![CDATA[CTF逆向  re1-e7e4ad1a.apk]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/90412840</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/90412840</guid><author>Stronger_99</author><pubDate>Tue, 21 May 2019 18:46:21 +0800</pubDate><description><![CDATA[在这里分析一下2016ctf的一道逆向题，apk包：re1-e7e4ad1a.apk。

首先使用adb将apk文件发送到真机模拟器中（模拟器根据自己，也可以使用电脑上的模拟器，这里我使用的是真机模拟器）。界面如下：



从这个APP的界面可以看到需要输入编号和密码，然后单击sign。在这里我们要做的就是寻找到这个编号和密码。

使用jeb打开re1-e7e4ad1a.apk文件，看一下整体的...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第二十章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89855400</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89855400</guid><author>Stronger_99</author><pubDate>Sun, 05 May 2019 21:14:17 +0800</pubDate><description><![CDATA[问题1：

使用ida载入实验文件Lab20-01.exe



参数就是ecx的this指针。

问题2：

在上图可以看到在函数sub_401040中调用了函数URLDownloadToFileA，回到main函数就可以看到这个URL:



问题3：

这个程序就是在URL里下载文件tempdownload.exe到C盘。



问题1：

字符串：



可能是ftp客户端程序。
...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十九章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89855312</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89855312</guid><author>Stronger_99</author><pubDate>Sun, 05 May 2019 21:10:21 +0800</pubDate><description><![CDATA[问题1：

首先使用ida载入实验文件：



看到了一系列的Inc ecx指令，先忽略继续向下看：



在偏移量为200的地方看到了异或操作，可以看到这段代码就是一个循环操作。首先将栈顶值赋值给esi。通过分析可以知道esi中保存的就是224。然后再令esi的值入栈。接下来是lodsb指令。这条指令的功能是把esi的值赋给eax。其实就是要将49保存在eax中。然后al的值又赋给了dl，再...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十八章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89815128</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89815128</guid><author>Stronger_99</author><pubDate>Sat, 04 May 2019 16:50:19 +0800</pubDate><description><![CDATA[Lab18-01.exe

首先使用peid进行查壳：



这是一个UPX壳。

下面进行脱壳操作：

将实验文件载入OD：



可以看到一开始进来就来到了这个位置，这个很明显不是OEP，那么就来找一下，最常用的方法就是查找尾部跳转指令。通常情况下，它会是在一段无效字节前的jmp指令：



可以看到409F43就是这个尾部跳转指令，先下断点然后执行，取消断点在步过。



然后就来到了这...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十七章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89813233</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89813233</guid><author>Stronger_99</author><pubDate>Sat, 04 May 2019 14:28:07 +0800</pubDate><description><![CDATA[问题1：

使用x86来确定自己是否运行在虚拟机中。

问题2：

使用ida载入实验文件Lab17-01.exe，然后运行Python脚本：



运行后发现在output window窗口可以看到提示有三处使用反虚拟机技术，并且提供了这三处的地址。







在ida中对这三处都是以红色高亮显示的，指令分别是sldt,sidt,str.

问题3，4，5，6：

按顺序先来分析一下sl...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十六章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89716138</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89716138</guid><author>Stronger_99</author><pubDate>Tue, 30 Apr 2019 21:53:05 +0800</pubDate><description><![CDATA[先来整体分析一下，



整体看一下发现很多地方都调用了函数 sub_401000，也出现了很多fs:30h。下面分析一下函数sub_401000：





在这里可以看到一个_exit，也就是离开，还调用了函数ShellExecuteA，我们可以使用OD来分析一下，使用OD跳转到地址004010DE，然后下个断点，执行一下：



在堆栈窗口可以看到这里调用了cmd和一个del来进行自...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十五章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89711360</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89711360</guid><author>Stronger_99</author><pubDate>Tue, 30 Apr 2019 16:05:56 +0800</pubDate><description><![CDATA[问题1：

首先使用ida载入实验文件Lab15-01.exe



在main函数的位置可以看到一个跳转语句，结果为0 就跳转，上面一条语句是eax自身的异或操作，也就是无论eax里的值是什么，结果都是0，所以呢这条跳转指令就一定会执行。也就可以理解为这里采用固定条件的跳转指令来对抗反汇编技术。

问题2：

继续向下看：



可以看到这里的代码是有问题的，ida已经标注了红色。这里可以将...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十四章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89495981</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89495981</guid><author>Stronger_99</author><pubDate>Wed, 24 Apr 2019 16:19:01 +0800</pubDate><description><![CDATA[问题1：

使用wireshark进行监控网络特征，运行试验程序Lab14-01.exe：



可以看到一开始就发送了一个DNS请求，目标地址就是一个网址。接着可以看到：



发现一个HTTP的GET请求，可以看到字符串user-Agent并不是硬编码的。

问题2：

使用ida打开文件Lab14-01.exe，看到函数URLDownloadToCacheFileA，这个函数的作用...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战，第十三章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89448324</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89448324</guid><author>Stronger_99</author><pubDate>Mon, 22 Apr 2019 11:27:59 +0800</pubDate><description><![CDATA[问题1：

先来做基本的动态分析，使用Wireshark进行监控，运行程序发现：





发现了一个网址，一段乱码和Mozilla/4.0。使用ida查看一下字符串：



在这里同样看到了Mozilla/4.0。但是并没有看到网址以及那个字符串，那么这两个在后面的分析中就要重点关注一下。

问题2：

使用ida搜索xor,结果入下：



通过分析可以知道，只有004011B8地址处的x...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十二章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89388787</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89388787</guid><author>Stronger_99</author><pubDate>Thu, 18 Apr 2019 21:43:46 +0800</pubDate><description><![CDATA[静态分析：

使用ida打开Lab12-01.exe，打开imports，如下：



这里看到了CreateRemoteThread、WriteProcessMemory和VirtualAllocEx，看到这几个函数就有理由怀疑这是一个进程的注入行为。

看一下字符串，打开strings窗口：



这里看到了几个可以的dll文件，explorer.exe、Lab12-01.dll和psap...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十一章课后实验Lab11-02]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89338278</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89338278</guid><author>Stronger_99</author><pubDate>Tue, 16 Apr 2019 17:47:40 +0800</pubDate><description><![CDATA[先来进行静态分析，首先使用strings查看一下字符串：



这里看到了AppInit_DLLs以及SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows这两个字符串，说明了恶意程序使用AppInit_DLLs来实现永久的自我安装。还看到了\Lab11-02.ini说明有可能会调用这个文件，进程名THEBAT.EXE、OUTLOOK.EXE以...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第十一章课后实验Lab11-01]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89318725</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89318725</guid><author>Stronger_99</author><pubDate>Mon, 15 Apr 2019 19:23:11 +0800</pubDate><description><![CDATA[首先查看一下字符串：



在这里看到了GinaDLL和Winlogon，这就有理由猜这是一个拦截GINA的恶意代码，这个在书中也提到了，GINA拦截就是在Windows XP系统中，恶意程序可以使用微软图形识别和验证界面（GINA）拦截技术来窃取用户的登陆凭证。

下面使用peid查看一下导入表：



在kernel32.dll中发现了许多关于资源的API函数。



在advapi3...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第九章课后实验Lab09-02]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89313225</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89313225</guid><author>Stronger_99</author><pubDate>Mon, 15 Apr 2019 15:40:25 +0800</pubDate><description><![CDATA[问题1：



在这里看到了许多导入函数以及cmd，可能恶意程序运行后会对cmd有所操作。

问题2 ：

使用Process Explorer监控，运行程序后并没有发现什么。

问题3：

把Lab09-02.exe载入到ida和OD。

在ida中发现main的地址是00401128，让后让OD跳转到此地址：

首先看到了一大串的mov指令



这是将字节移动到栈中的操作，出现了两个0，...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第九章课后实验 Lab09-03]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89301585</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89301585</guid><author>Stronger_99</author><pubDate>Sun, 14 Apr 2019 20:48:21 +0800</pubDate><description><![CDATA[问题1：

首先用peid查看导入表：



这里发现了四个，分别是kernel32.dll netapi32.dll DLL1.dll DLL2.dll 。还有些.dll是在程序运行时加载的，用ida打开Lab09-03.exe。如果想要在程序运行时动态加载.dll文件一般要调用LoadLibrary这个函数，点开Imports,找到LoadLibrary：



双击查看，然后在地址...]]></description><category></category></item><item><title><![CDATA[恶意代码分析实战 第七章课后实验]]></title><link>https://blog.youkuaiyun.com/Stronger_99/article/details/89243737</link><guid>https://blog.youkuaiyun.com/Stronger_99/article/details/89243737</guid><author>Stronger_99</author><pubDate>Fri, 12 Apr 2019 16:20:41 +0800</pubDate><description><![CDATA[看一下字符串：



然后分析主函数：



这个main函数很简短，看到了StartServiceCtrlDispatcherA函数，这个函数是来实现一个服务，并且指定了要调用的函数就是sub_401040，双击进去看一下：



发现这里调用了一个OpenMutexA函数，这个函数会尝试获取"HGL345"这个互斥量，获取到就说明已经有一个恶意程序在运行了，则调用ExitProcess...]]></description><category></category></item></channel></rss>