Blast's Security Lab
10 Aug 2009
1.更新报告及早期问题解决情况报告
趋势误报PXXTEACL.exe的问题,上报后没有回复,但是估计可能是PXXTeaCL.exe为了减小体积加了UPX 3.01w的壳,所以导致趋势科技报壳,在2.026以后的版本中的PXXTeaCl.exe已经没有加壳了。
上次说的2.022的天空下载站已经更新通过,地址为http://www.skycn.com/soft/54245.html。
2. 2.023至2.026的更新内容汇总
Redoce V2.026
※修正不在敏感列表中的扩展名也可能被标记的问题。(如扩展名“.c”)
^感谢小狮子AA指出此错误
Redoce V2.025
※修正SRC过滤对于\',\"误识别为根目录的问题。
↗SRC过滤支持对applet codec=的过滤。
Redoce V2.024
↗更新[%uX]按钮功能,现支持对如下常用操作:xor byte ptr [eax/ebx/ecx/edx], KEY; xor byte ptr[eax+ebx], KEY五种KEY的探测。
↗支持复制PDF结构
↙[复制]按钮将不会复制层次数
Redoce V2.023
合并到Redoce 2.024的更新中.
3. 更新具体解决的问题
[复制]按钮将不会复制层次数 : 点击主界面的复制按钮,原先会复制项目层数,如003>某网站,而2.024之后的版本则只保留网站地址
支持复制PDF结构 : 可以复制分离出的PDF结构
更新[%uX]按钮功能 : 原先只支持操作码 8033 XX (xor byte ptr[ebx], XX),现在支持对以下五种操作的识别(请注意:虽然识别方式有改变但是仍然可能出现猜错的情况)
xor byte ptr [eax], KEY;
xor byte ptr [ebx], KEY;
xor byte ptr [ecx], KEY;
xor byte ptr [edx], KEY;
xor byte ptr[eax+ebx], KEY;
SRC过滤支持对applet codec=的过滤 : 原先程序无法识别内嵌Applet的代码,在2.025之后的版本使用SRC按钮将可以分离出此类网址。
修正SRC过滤对于\',\"误识别为根目录的问题 : 原先程序遇到src=\'x\'之类的代码会误认为是src=\x\,从而默认拼接到根目录,2.025之后的版本将能够识别\',\"并转回'和"。
修正不在敏感列表中的扩展名也可能被标记的问题 : 原先程序使用InStr函数检测是否存在后缀,但是如果后缀过短(如扩展名“.c”),就可能出现错误,如cab中也含c,返回值就不是0,程序会被标记。2.026之后的版本将减少此情况的发生。
4.报告回复
·新版本(2.024)会出现“URL丢弃,匹配度100.00”的情况。
请取消勾选“设置”-“杂项设置”-“URL自动丢弃(防循环)”并重新启动程序。
·地址的源码用src过滤出的地址不对,过滤出的是hp://q****f.cn/go1.jpg,而正确的应该是hp://q****f.cn/x2/go1.jpg。
此问题已经在2.025版本中解决。
·使用5解密之后再使用A枚举,无法获取结果。
由于RTFBox遇到ASCII>127的字符会自动显示?,而且会自作主张的替换其ASCII值到0x3F('?'),所以枚举可能出现问题,正在寻找可替代RTFBox的控件。
·更新获取版本信息时程序卡死。
程序在获取网页值的时候,在连接没有完成前会有点冻结状态,在连接完成或超时后将恢复正常。
5.更新日期及版本
发此贴时最新版本为2.026,更新日期为2009.8.10 17:10。
1.大牛可否增加一个代码区的复制按钮
2.最小化到任务栏后 右键菜单很多功能不是很好用 比如点击“关闭”按钮没有响应 不知道跟系统有关系没有 我的是vista sp1的
还有最好也能加个像地址获取栏下的那个↙扩展按钮 代码区实在太小了 看起来不方便 你说最大化按钮因为没加皮肤可能一时半会不好办 可以取这么个折中的办法 我计算了下虽然加两个按钮可能有点困难 但是你把那些按钮排列再靠紧点应该是可以做到的 而且这个按钮的代码你可以照搬原来的的 应该也不用多少心思
写程序挺辛苦的 你更新的还是比较勤快
又来向你提意见了 或者说是求助 因为我是很多不懂啊 呵呵 为什么软件没有“EXECUTE清除”这样的功能 这个好像是vbs脚本执行语句专用的
发现个bug:
shellcode如下:
%u5549%u5155%u0e1b%u400e%u1045%u1213%u480f%u474f%u0e4e%u5242%u0f52%u5944%u2144(密钥21)
用xor密钥查找找不到密钥,当然%uX也不行
用freshow的enumxor可以得到密钥,mdecoder也可以。
根据我的理解“xor密钥寻找”这个功能应该是用00-FF去挨个尝试充当密钥 然后寻找“http”字符串,找到了就认为就是密钥(不知我的理解是不是正确?) 那么按理说这样去寻找密钥的话应该是万无一失的 怎么会找不到呢?
PS:没想到你还是个高中生 加油哦 高三这年很重要哦 祝你考上理想的大学
◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。