BYR Achieve · 镜像论坛

在信息安全版上看到那个视频利用漏洞的视频文件，是一个exe，可以自动播放，所以现在无聊，来分析下那个exe文件时根据什么原理来自动播放的，先把那个帖子的附件下载过来，文件名是vul4byr.exe，地址http://bbs.byr.cn/wForum/disparticle.php?boardName=Security&ID=28076&pos=5 直观上判断，一个能自动播放视频的exe文件呢必定要把视频数据存储在某个地方吧，但现在仅仅只有一个exe文件，那视频数据存放在哪？是放在exe的资源文件里面吗？不着急，我们先用peid查看下vul4byr.exe，查看结果显示如下：可执行文件有冗余数据在exe文件末尾，现在我们可以大概判断视频数据并不是作为资源而存在的，而是直接放在可执行文件末尾。现在来计算视频数据应该放在哪，计算如下：最后一个节的.rsrc的文件偏移是 0x19000 该节大小是 0x5000 故冗余数据应该在文件偏移 0x1E000处。用WinHex打开vul4byr.exe，定位到0x1E000，如下现在我们把0x1e000到文件末尾的这些数据截取下来保存为另一个文件，取个名字就叫video.data，接着，再把从文件头到0x1dfff这些数据另保存为文件，命名为player.exe，最后运行下player.exe看看，是一个完整的可执行程序，运行后会弹出一个对话框，要求选择视频文件，我们选择刚刚截取出来的数据video.data，选取后，player.exe就自动播放视频了。可能大家现在对那个自动播放视频的可执行文件vul4byr.exe是怎么找到视频数据的比较感兴趣，我们现在打开OD，找到下面地方： 00404480 /$ 51 push ecx 00404481 |. 56 push esi 00404482 |. 57 push edi 00404483 |. 68 C0804100 push 004180C0 ; /mode = "rb" 00404488 |. 68 CC854100 push 004185CC ; |path = "C:\Documents and Settings\Administrator\",D7,"烂鎈noname.exe" 0040448D |. FF15 38224100 call dword ptr [<&MSVCRT.fopen>] ; \fopen 00404493 |. 8BF0 mov esi, eax 00404495 |. 83C4 08 add esp, 8 00404498 |. 85F6 test esi, esi 0040449A |. 74 73 je short 0040450F 0040449C |. 53 push ebx 0040449D |. 8B1D 88224100 mov ebx, dword ptr [<&MSVCRT.fseek>] ; msvcrt.fseek 004044A3 |. 6A 02 push 2 ; /whence = SEEK_END 004044A5 |. 6A 00 push 0 ; |offset = 0 004044A7 |. 56 push esi ; |stream 004044A8 |. FFD3 call ebx ; \fseek 004044AA |. 56 push esi ; /stream 004044AB |. FF15 8C224100 call dword ptr [<&MSVCRT.ftell>] ; \ftell 004044B1 |. 8BF8 mov edi, eax 004044B3 |. 6A 00 push 0 004044B5 |. 8D47 FC lea eax, dword ptr [edi-4] 004044B8 |. 50 push eax 004044B9 |. 56 push esi 004044BA |. FFD3 call ebx 004044BC |. 56 push esi ; /stream 004044BD |. 6A 01 push 1 ; |n = 1 004044BF |. 8D4C24 30 lea ecx, dword ptr [esp+30] ; | 004044C3 |. 6A 04 push 4 ; |size = 4 004044C5 |. 51 push ecx ; |ptr 004044C6 |. C74424 38 000>mov dword ptr [esp+38], 0 ; | 004044CE |. FF15 90224100 call dword ptr [<&MSVCRT.fread>] ; \fread 004044D4 |. 8B4424 38 mov eax, dword ptr [esp+38] 004044D8 |. 83C4 2C add esp, 2C 004044DB |. 85C0 test eax, eax 004044DD |. 5B pop ebx 004044DE |. 76 25 jbe short 00404505 004044E0 |. 3D 801A0600 cmp eax, 61A80 004044E5 |. 73 1E jnb short 00404505 004044E7 |. 3BC7 cmp eax, edi 004044E9 |. 73 1A jnb short 00404505 004044EB |. 56 push esi ; /stream 004044EC |. A3 CC874100 mov dword ptr [4187CC], eax ; | 004044F1 |. FF15 94224100 call dword ptr [<&MSVCRT.fclose>] ; \fclose 004044F7 |. 83C4 04 add esp, 4 004044FA |. B8 01000000 mov eax, 1 004044FF |. 5F pop edi 00404500 |. 5E pop esi 00404501 |. 59 pop ecx 00404502 |. C2 0400 retn 4 00404505 |> 56 push esi ; /stream 00404506 |. FF15 94224100 call dword ptr [<&MSVCRT.fclose>] ; \fclose 0040450C |. 83C4 04 add esp, 4 0040450F |> 5F pop edi 00404510 |. 33C0 xor eax, eax 00404512 |. 5E pop esi 00404513 |. 59 pop ecx 00404514 \. C2 0400 retn 4 从下面代码 004044BC |. 56 push esi ; /stream 004044BD |. 6A 01 push 1 ; |n = 1 004044BF |. 8D4C24 30 lea ecx, dword ptr [esp+30] ; | 004044C3 |. 6A 04 push 4 ; |size = 4 004044C5 |. 51 push ecx ; |ptr 004044C6 |. C74424 38 000>mov dword ptr [esp+38], 0 ; | 004044CE |. FF15 90224100 call dword ptr [<&MSVCRT.fread>] ; \fread 可以知道软件定位到可执行文件末尾，然后读取最后4个字节，那么这四个字节就是视频数据的偏移，我们再次用WinHex打开vul4byr.exe，定位到末尾，如下图：最后4字节是0x1E000，刚好是上面我们计算的视频数据偏移！最后，有些人可能对视频数据的格式很感兴趣，那么视频格式最要在以下代码处出现： 0040BCEC |. 8B4424 54 |mov eax, dword ptr [esp+54] 0040BCF0 |. C740 18 DC844>|mov dword ptr [eax+18], 004184DC ; ASCII "unknown compression method" 0040BCF7 |. C703 1B000000 |mov dword ptr [ebx], 1B 0040BCFD |. 8BC1 |mov eax, ecx 0040BCFF |. E9 73130000 |jmp 0040D077 0040BD04 |> 8B43 24 |mov eax, dword ptr [ebx+24] 0040BD07 |. 83ED 04 |sub ebp, 4 0040BD0A |. C1E9 04 |shr ecx, 4 0040BD0D |. 894C24 10 |mov dword ptr [esp+10], ecx 0040BD11 |. 83E1 0F |and ecx, 0F 0040BD14 |. 83C1 08 |add ecx, 8 0040BD17 |. 3BC8 |cmp ecx, eax 0040BD19 |. 76 1A |jbe short 0040BD35 0040BD1B |. 8B4C24 54 |mov ecx, dword ptr [esp+54] 0040BD1F |. 8B4424 10 |mov eax, dword ptr [esp+10] 0040BD23 |. C741 18 C8844>|mov dword ptr [ecx+18], 004184C8 ; ASCII "invalid window size" 0040BD2A |. C703 1B000000 |mov dword ptr [ebx], 1B 0040BD30 |. E9 42130000 |jmp 0040D077 0040BD35 |> BA 01000000 |mov edx, 1 0040BD3A |. 33ED |xor ebp, ebp 0040BD3C |. D3E2 |shl edx, cl 0040BD3E |. 55 |push ebp 0040BD3F |. 55 |push ebp 0040BD40 |. 55 |push ebp 0040BD41 |. 8953 14 |mov dword ptr [ebx+14], edx 0040BD44 |. E8 D72D0000 |call 0040EB20 0040BD49 |. 8B5424 1C |mov edx, dword ptr [esp+1C] 0040BD4D |. 8B4C24 60 |mov ecx, dword ptr [esp+60] 0040BD51 |. F7D2 |not edx 0040BD53 |. 81E2 00020000 |and edx, 200 0040BD59 |. 83C4 0C |add esp, 0C 0040BD5C |. 80CE 09 |or dh, 9 0040BD5F |. 8943 18 |mov dword ptr [ebx+18], eax 0040BD62 |. C1EA 08 |shr edx, 8 0040BD65 |. 8941 30 |mov dword ptr [ecx+30], eax 0040BD68 |. 8913 |mov dword ptr [ebx], edx 0040BD6A |. 896C24 10 |mov dword ptr [esp+10], ebp 0040BD6E |. 8BC5 |mov eax, ebp 0040BD70 |. E9 02130000 |jmp 0040D077 0040BD75 |> 8B4424 54 |mov eax, dword ptr [esp+54] 0040BD79 |. C740 18 B0844>|mov dword ptr [eax+18], 004184B0 ; ASCII "incorrect header check" 0040BD80 |. 8B4424 10 |mov eax, dword ptr [esp+10] 0040BD84 |. C703 1B000000 |mov dword ptr [ebx], 1B 0040BD8A |. E9 E8120000 |jmp 0040D077 0040BD8F |> 83FD 10 |cmp ebp, 10 0040BD92 |. 73 2A |jnb short 0040BDBE 0040BD94 |> 85FF |/test edi, edi 0040BD96 |. 0F84 39130000 ||je 0040D0D5 0040BD9C |. 33C9 ||xor ecx, ecx 0040BD9E |. 4F ||dec edi 0040BD9F |. 8A0E ||mov cl, byte ptr [esi] 0040BDA1 |. 897C24 14 ||mov dword ptr [esp+14], edi 0040BDA5 |. 8BD1 ||mov edx, ecx 0040BDA7 |. 8BCD ||mov ecx, ebp 0040BDA9 |. D3E2 ||shl edx, cl 0040BDAB |. 83C5 08 ||add ebp, 8 0040BDAE |. 03C2 ||add eax, edx 0040BDB0 |. 46 ||inc esi 0040BDB1 |. 83FD 10 ||cmp ebp, 10 0040BDB4 |. 894424 10 ||mov dword ptr [esp+10], eax 0040BDB8 |. 897424 18 ||mov dword ptr [esp+18], esi 0040BDBC |.^ 72 D6 |\jb short 0040BD94 0040BDBE |> 3C 08 |cmp al, 8 0040BDC0 |. 8943 10 |mov dword ptr [ebx+10], eax 0040BDC3 |. 74 10 |je short 0040BDD5 0040BDC5 |. 8B4C24 54 |mov ecx, dword ptr [esp+54] 0040BDC9 |. C741 18 DC844>|mov dword ptr [ecx+18], 004184DC ; ASCII "unknown compression method" 0040BDD0 |. E9 9C120000 |jmp 0040D071 0040BDD5 |> F6C4 E0 |test ah, 0E0 0040BDD8 |. 74 10 |je short 0040BDEA 0040BDDA |. 8B5424 54 |mov edx, dword ptr [esp+54] 0040BDDE |. C742 18 94844>|mov dword ptr [edx+18], 00418494 ; ASCII "unknown header flags set" 0040BDE5 |. E9 87120000 |jmp 0040D071 上面的代码主要是对视频数据进行解码操作，其中包含着对数据头的分析，有兴趣的可以自己分析分析，那段代码逻辑很混乱，想分析并不容易。最后再来说下，本来我打算分析出视频数据的文件头跟视频编解码算法的，但有以下理由让我最终勇敢放弃： 1、最重要的一点，视频编解码异常复杂，即便是高级语言写出的编解码算法理解起来都很费劲，何况是汇编，而且是毫无逻辑可言的反汇编代码。目前我被H.264整的头晕，所以就不再想被其他视频编解码折腾了。。。 2、本来退一步想分析出视频文件头格式，后来判断这样的想法意义不大，因为，文件头必然蕴含着视频编解码所要用到的信息，既然编解码已经放弃了，那文件头格式就没多少意义了。 3、软件采用MFC编写，用面向对象编写，这加大反汇编分析难度。面向对象对代码管理是个好办法，但对逆向分析则是个噩梦，当然了，这个理由并不重要，我完全可以克服。虽然我们并没有逆向出该软件对视频进行编码的算法，不过我们从官方网站还是可以得到一些有用的信息： http://www.screen-record.com/SSCV2.htm 视频编码采用的算法是该公司自主开发的一种高效的编码算法SSCV2，应该是对传统编码算法的改进。 What is the common way to compress screen video of other software? General screen recording software and remote controlling software has their own way to compress screen, based on LZW. Normally it has 3 steps: Step 1: Lower color depth from 24 bits color to 16 bits or even 8bits color. Step 2: Use lossless compression, normally LZW, to process I frame. Step 3: In P frame, do a simple comparison between this frame and last frame, then compress the changed area. Some of them use standard MPEG serials codec to compress screen. Neither LZW way nor MPEG is the best solution for a composed video like screen. The LZW way may have good compression ratio on text and icons, but bad performance on photos. In contrast, MPEG serials have better performance on photos but poor compression ratio on text and icons. We need a special method, which is SSCV2. 关于SSVC2的编码算法可以查看官方的效果图。

【原创】Screen2Exe软件分析