delphi 2016 下载 Zebrocy新组件入侵过程详细解析(3)

密钥描述符的字符串包含Bayren_Munchen，这似乎可能是指德国足球队拜仁慕尼黑队。然而，真正起作用的不是密钥描述符的内容，而是它的长度，它的长度用于检索加密payload的XOR密钥。

要获取XOR密钥，注入器会查找最后一个liver关键字并增加密钥描述符的偏移量。XOR密钥的长度是27（0x1b）字节，与密钥描述符的长度相同。

目标是a与b通信的内容，有且只有a和b有能力看到通信的真正内容，为了防止内容被第三方窃取，发送方可以通过密钥s对聊天内容进行加密，接收方在收到聊天内容之后，再用密钥s解密聊天内容，只要密钥不公开给第三者，同时密钥s足够安全，我们就可以保证只有a与b知道聊天内容。

之所以叫做公开密钥算法，是因为加密密钥能够公开，即陌生者能用加密密钥加密信息，但只有用相应的解密密钥才能解密信息。

公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密。

另外，还将以 fastjson 举例说明，公布部分未公开的反序列化的payload、0day，并会对这些payload分类解读。

以文件C:\Users\Public\Documents\ AcrobatReader.txt注入payload，并将文件移动到C:\Users\Public\Documents\AcrobatReader.exe。

也许这是为了避免终端保护系统触发删除.exe扩展名的二进制文件的警报。delphi 2016 下载

运营者再次尝试在受害者查看目录时欺骗他们，在这种情况下，他们将看到如图4所示的文件：

默认情况下，Windows会隐藏扩展名，入侵者可以利用此注入可执行文件到Documents目录中，使其看起来像PDF文件。

最后，注入器执行其新注入的payload，然后退出。

Main方法调用Run来启动应用程序，然后创建Form1表单。

{
    Application.EnableVisualStyles();
    Application.SetCompatibleTextRenderingDefault(false);
    Application.Run((Form) new Form1());
}

Form1启动了很多变量，包括七个新的 Timer。

    this.start = new Timer(this.components);
    this.inf = new Timer(this.components);
    this.txt = new Timer(this.components);
    this.subject = new Timer(this.components);
    this.run = new Timer(this.components);
    this.load = new Timer(this.components);
    this.screen = new Timer(this.components);

Timer对象有三个重要字段：

Enabled:表示计时器是否处于活动状态；

Interval:事件之间的时间（以毫秒为单位）；

Tick:当计时器间隔结束并启用计时器时执行的回调。

这些字段初始化为：

    this.start.Enabled = true;
    this.start.Interval = 120000;
    this.start.Tick += new EventHandler(this.start_Tick);
    this.inf.Interval = 10000;
    this.inf.Tick += new EventHandler(this.inf_Tick);
    this.txt.Interval = 120000;
    this.txt.Tick += new EventHandler(this.txt_Tick);
    this.subject.Interval = 120000;
    this.subject.Tick += new EventHandler(this.subject_Tick);
    this.run.Interval = 60000;
    this.run.Tick += new EventHandler(this.run_Tick);
    this.load.Interval = 120000;
    this.load.Tick += new EventHandler(this.load_Tick);
    this.screen.Interval = 8000;
    this.screen.Tick += new EventHandler(this.screen_Tick);

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-90734-3.html