首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

CHM木马的分析利用

前言 CHM文件格式是微软推出的基于HTML文件特性的帮助文件系统,也称作“已编译的HTML帮助文件”。...CHM能够支持脚本、Flash、图片、音频、视频等内容,并且同样支持超链接目录、索引以及全文检索功能,常用来制作说明文档、电子书等以方便查阅,在绝大多数人的印象中,CHM类型文件是“无公害”文档文件。...一、木马行为分析 CHM文件是经过压缩的各类资源的集合,使用7z解压软件直接打开木马样本,如图所示,可以发现CHM文件内部包含一个说明.html文件。 ?...perflog.exe的行为了 接下来思考如何打造属于自己的CHM后门 二、再创造 思路: 样本的JS代码基本不变,只需去掉那些无用的文件,解压缩释放出1.regpayload即可 1.反编译样本CHM...3.将自己的1.regpayload制作成压缩包 ? ? 4.编译CHM ? 5.将压缩包并写入CHM(利用C32Asm) ? 将payload.rar粘贴到CHM的最后面并保存 ? 6.测试 ?

2.5K30
您找到你想要的搜索结果了吗?
是的
没有找到

Operation Magichm:蔓灵花组织的CHM文件投放后续操作

近日,奇安信威胁情报中心在日常监控过程中发现蔓灵花APT组织开始通过邮箱投递包含有恶意脚本Chm文件的RAR压缩包,对国内外相关单位发起定向攻击,经过遥测此类的攻击行动已经持续两年,我们将其成为operation...经过溯源,本次攻击活动中蔓灵花采用了以往截然不同的攻击链,使用.net远控作为节点执行命令或者下发插件,并下发了一个之前从未被披露过的新模块。攻击全流程如下: ?...启动Chm后会执行内置的恶意脚本 ?...关联分析 基于奇安信遥测数据,我们发现Bitter APT组织最晚于2019年中时开始投递恶意Chm邮件,历史捕获到的样本如下: 文件名 URL 20210225.doc.chm http://youxiangxiezhu.com...h= remote.chm http://sartetextile.com/img/wnsetup.msi MyPictures.jpg.chm https://bheragreens.com/img/

1.6K30

解决CHM文件打开无法显示网页的问题

fr=qrl3 2、当chm文件的路径中含有“#”“%”等字符时,chm文件能够打开,但是却无法正常看到内容,显示无法显示网页. 原因是:打开chm文件,相当于输入一条包含文件路径的命令行语句并执行。...如何解决下载的CHM文件无法显示网页问题  问题症状:打开CHM文件,左边目录齐全,可右边边框里却是无法显示网页。...双击此 .chm文件以打开此文件。 本人遇到的问题是部分CHM文件不能打开,利用方法五,顺利解决。 小知识: CHM 意为 Compiled HTML。...双击此 .chm 文件以打开此文件chm文件无法打开问题的解决刚从家回来,重新安装了系统,发现原来可以正常打开的chm文件无法打开了,自己试着解决了,发出来共享一下。...开启后的CHM文件不再需要用户的参与,就能够自动执行恶意CHM文件和附随的代码。

3.7K20

完美解决.CHM文件打不开或者打开以后显示空白的情况

首先简单的介绍一下什么是chm,避免那些根本就不知道文件是什么的就来看我的博客的人(我是不是飘了?...哈哈) 官方介绍: CHM是英语“Compiled Help Manual”的简写,即“已编译的帮助文件”。...CHM是微软新一代的帮助文件格式,利用HTML作源文,把帮助内容以类似数据库的形式编译储存 介绍的不错,就是已编译的帮助文件,看好了,是帮助文件,一般是用来写帮助文件的。...我这里有几个我下载好的chm文件,我们这个时候怎么打开呢? 第一步:右键选择打开方式 第二步:选择在电脑中查找 直到找到这个文件: ?...ok,找到以后双击这个hh.exe 然后记住以后就用这个文件打开就行了。 那么打开以后是这样的: ? 您是不是和我一样?这是什么?怎么没东西? 怎么解决显示空白的问题?

7.2K20

.Chm格式帮助文件作盾,CryptoWall勒索软件卷土重来

近日,Bitdefender的安全专家又披露了一种勒索软件CryptoWall变种,攻击者利用了看似安全的.Chm格式帮助文件发起攻击。....Chm文件因何变得危险 .Chm文件格式是HTML文件格式的扩展,它本来是一种用于给软件应用程序作用户手册的特殊文本格式。...简单来说,HTML文件格式被压缩和重整以后,就被制成了这种二进制的.Chm扩展文件格式。...通常,.Chm文件格式由压缩的HTML文件、图像、Javascript这些文件组合而成,同时,它可能还带有超链接目录、索引以及全文检索功能。...这些.Chm文件有着较多的用户交互,并且采用了一系列的技术。其中包含的Javascript代码自不用多说,它可以在你打开.Chm文件时,直接重定向到一个外部链接。

92570

cfs里的.chm文件打开后无法加载超链接内容而显示空白

如果.chm文件在机器自带硬盘上,双击则直接看到效果,如下图,挂载cfs双击.chm则弹窗警告,而且还空白 挂载cfs后双击打开.chm文件时,如下图 图片.png 点"打开"看到的是空白 图片....png 原因:微软拒绝从网络存储上直接访问.chm文件的超链接内容是为了安全考虑 既然本地硬盘没事,那就给挂载好的cfs盘创建个符号链接放到本地硬盘试试 net use x: \\10.255.4.21...l6na71r1 挂载到X:盘 mklink C:\1 x:\ /D mklink C:\2 x:\ /D mklink C:\3 x:\ /D 图片.png 从创建好的C盘的目录符号链接访问.chm...文件是正常的 图片.png mklink :https://baike.baidu.com/item/mklink/566760 /D 创建目录符号链接而不是文件符号链接

1.5K40

Mac电脑CHM文件阅读首选,iCHM Reader for Mac 永久版自带激活版

哪里下载Mac电脑CHM文件阅读首选,iCHM Reader for Mac 永久版自带激活版资源啊,iCHM Reader for Mac是一款MacOS上的chm阅读器,可以帮助用户打开和阅读chm...格式文件,自动进行编码的检测切换,在输入关键字后就可以在页面中查找信息,拥有标签页等等的功能,支持多种编码图书。...图片iCHM Reader for Mac是一款Mac平台上的CHM阅读器,是Mac OS X系统下最受欢迎的CHM格式文件阅读器之一。...特点介绍:1.支持多种CHM格式文件iCHM Reader for Mac支持多种CHM格式文件,包括中文、英文、数字等多种不同格式的文件。同时,它还支持其他格式的文档,例如PDF、EPUB等。...4.支持离线阅读iCHM Reader for Mac支持离线阅读,用户可以将所需的CHM格式文件下载到本地,无需联网即可进行阅读。

1.9K20

Linux内核源代码情景分析-访问权限文件安全性

在Linux内核源代码情景分析-从路径名到目标节点,一文中path_walk代码中,err = permission(inode, MAY_EXEC)当前进程是否可以访问这个节点,代码如下: int...S_IWOTH) && IS_RDONLY(inode) && (S_ISREG(mode) || S_ISDIR(mode) || S_ISLNK(mode))) return -EROFS; //如果要求的写文件...,并且是只读系统,而且是常规文件,目录,或者链接时,返回-EROFS,表示不能访问 if ((mask & S_IWOTH) && IS_IMMUTABLE(inode)) //Nobody gets...假如不相等,如果当前进程得到了授权,允许其CAP_DAC_OVERRIDE,即可以凌驾于文件系统的访问权限控制机制DAC之上。...,要为每种文件类型都分配一个标志位就不够了,所以表示文件的类型的这4位是编码的。

2.6K60

如何有效保护源代码 —— .m脚本文件

在实际情况中可能会遇到这样的事情,我们在分享自己编写的matlab程序时只是为了演示程序所实现的功能,并不希望对方看见源代码。要怎样才能实现既能加密源代码又能够在matlab中正常执行加密文件呢?...注:各文件名之间用空格隔开,如果文件不在当前路径中,需要在文件名前添加文件路径。使用 pcode *.m 可以将当前目录下的所有m文件同时加密。...,funN),加密fun1.m至funN.m文件 b、pcode(fun,'-inplace'),在脚本或函数文件所在的同一个文件夹中创建 P 文件 以下是在m文件中使用pcode函数示例: % 指定主路径...pathT = 'D:\Documents\Matlab\test'; % 获取主路径子文件夹下的m文件名,*代码所有m文件 fun = fullfile(pathT,'aihaozhe','*.m'...网上有一个叫tomlab的工具箱,能够破解纯计算型的pcode加密文件,因此建议大家若要对源代码进行加密,尽量在代码中添加诸如判断、循环等语句,这样就可以有效防止这个工具箱的破解。

1.2K20

源代码到可执行文件

大家好,又见面了,我是全栈君 在理解一个源代码是如何成为可执行文件时,我简单的回顾下硬件层面、操作系统层面的知识。...我们开始编写源代码,然后编译执行。我们感觉到自己非常厉害,其实我们仅仅做了一点点东西。 1 编译器 源代码通过编译器变成汇编文件。...(java的编译c c++的编译,我们称之为传统的编译,是不同的,java的编译是生成字节代码,也就是JVM能够读懂的代码,这是一种中间代码。)...由于并非是可执行文件(在可执行文件中所有变量、调用的地址才能真正确定),这些地址是未确定的,所以对于这些数据(变量、函数)有relocation table,需要在最后的链接过程中对全局变量、函数做relocation...这个时候生成目标文件文件有不同的段组成,head、text、date、symbol、string、relocat等等 3 linker 链接 linker 就是将目标文件合并,符号解析、重定向。

28410

倘若直播源代码AI技术结合

直播技术AI技术结合,这个想法看起来是不是很疯狂?但细想一下,又有何不可呢?现在直播和AI技术发展都相当成熟,两者结合又可以开创出新的玩法。...AI技术虽然是没有感情的机器,但它们的模仿能力极强,如果不仔细辨别,还真看不出真人有什么不同,这种新颖的直播方式部分头部直播平台已经开始测试。...不过目前的直播源代码还不支持AI直播研发,虽然现在不支持,不代表之后的技术打不破这个僵局,为了AI直播是有可能变成现实的。...未来直播源代码发展如果能和AI相结合,相比又会掀起直播行业的又一巨浪,再此之前,AI技术的发展和监管机制得以完善才能保证AI直播之后的发展。

53010

libevent源码深度剖析四 libevent源代码文件组织

序 (2)libevent源码深度剖析二 Reactor模式 (3)libevent源码深度剖析三 libevent基本使用场景和事件流程 (4)libevent源码深度剖析四 libevent源代码文件组织...,如果能对其代码文件的基本结构有个大概的认识和分类,对于代码的分析将是大有裨益的。...2.源代码组织结构 Libevent的源代码虽然都在一层文件夹下面,但是其代码分类还是相当清晰的,主要可分为头文件、内部使用的头文件、辅助功能函数、日志、libevent框架、对系统I/O多路复用机制的封装...源代码中的test部分就不在我们关注的范畴了。...1)头文件 主要就是event.h:事件宏定义、接口函数声明,主要结构体event的声明; 2)内部头文件 xxx-internal.h:内部数据结构和函数,对外不可见,以达到信息隐藏的目的; 3)libevent

91420

将 Source Generator 生成的源代码保存到本地文件

默认的源代码生成器所生成的代码都是没有直接存放到项目文件夹里面的,不受源代码管理工具管理,对使用方的开发者来说很难直接阅读或查找到 Source Generator 生成的源代码。...)\(TargetFramework.ToLowerInvariant())\ 构成,调试下的输出大概是 obj\Debug\net8.0\ 等类似的文件夹里 接着将会拼接上源代码生成器分析器项目的程序集名具体的源代码生成类型...,最后加上源代码生成器 AddSource 时设置的 hintName 作为文件名。...,现在源代码生成器输出的文件又被再次引用,导致了最终构建不通过 解决方法就是去掉对 CompilerGeneratedFilesOutputPath 的文件的引用,确保只有引用源代码生成器在内存的一份代码...> 通过以上的方式即可让源代码生成器所生成的文件输出到本地文件里面,方便将生成的代码签进源代码版本控制里面,如 git 等里面,也方便进行静态代码阅读和代码审查 更多关于源代码生成博客请参阅我的

12810
领券