首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

NerbianRAT样本分析报告

这里我使用olevba脚本来分析此word文档的vba代码 olevba脚本已经帮我们分析出了此vba代码的主要功能,从解码的Base64字符串我们大致可以判断此vba脚本使用powershell...此vba代码有三个函数,GetByte和DecodeBase64这两个函数功能为解码Base64 主要的Document_Open入口函数我们可以看到定义了很多字符串但都是经过Base64编码,这些字符串在使用之前都调用...调用strings_Index函数进行逐一对比 checkLocation函数检测如果IP归属地不在列表中则会调用downloadNerbian函数从C2服务器下载NerbianRAT主体程序。...加密后的Buff为0x100 然后拼接了0x14C大小的缓冲区 接下来使用了AesCBC模式加密,使用补全码0x4填充了4字节到0x150大小 使用了硬编码的32字节Aes密钥进行加密 使用硬编码的...将MD5转为十六进制 之后将0x40字节大小的全局变量和bios信息MD5值和字符串windows进行格式化,随后直接使用Base64对这些数据进行了编码。

1K20
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    11.反恶意软件扫描接口 (AMSI)

    AmsiScanBuffer() AmsiScanString() 扫描内容缓冲区和字符串以查找恶意软件,也是对 API 及其传入参数进行分析,根据结果作评分以判断是否应该查杀。...($bytes | % {[char] ($_ -bxor 0x33)}) #进行XOR编码 iex $string #执行命令 然后我们使用powershell ISE 执行来模拟我们在实战中的无文件落地直接内存加载执行的手法...Office VBA + AMSI 当然amsi也可以检测vba和Java script 在实战中,使用宏攻击(钓鱼)也是我们常用的手法,所以我们要知道amsi对宏文件的检测流程 在微软文档中我们可以看到...通过阅读理解微软文档我们可以知道amsi对宏的检测查杀流程: 1.word等等钓鱼文件加载宏 2.VBA宏运行时,运行时会有一个循环的缓冲区中记录数据和参数调用Win32,COM, VBA等等api的情况...AMSI对这些接口进行检测,可以捕获宏的行为,并将所有相关信息(包括函数名称及其参数)记录在循环缓冲区中。

    4.3K20

    即时通讯安全篇(十五):详解硬编码密码的泄漏风险及其扫描原理和工具

    原题“浅谈硬编码密码及其扫描工具”,下文进行了排版和内容优化。1、引言密码是对服务、系统和数据的访问权限进行授权的数字身份凭证,常见的密码有API密钥、非对称私钥、访问Token等。...针对此问题,本文详细讨论了硬编码密码的成因、危害及治理方法,同时本文从安全人员的角度出发,对现有的硬编码密码检测工具的算法进行了深入调研,并提出了我们的自动化检测工具。...硬编码密码对特定设备、固件、服务、应用程序本身,对其连接的IT生态系统其他部分,甚至使用服务的第三方都存在风险,使其同样暴露在风险中。...我们对开源工具和学术文章进行了一系列调研,总结了目前的硬编码密码扫描工具常用的检测算法,并对其优缺点进行了讨论。6.1 正则表达式匹配正则表达式通常被用来检索符合某种模式的字符串。...6.2 熵字符串编码检测在信息论概念中,熵是对不确定性的量度,越随机的数据的熵越高。大多数API密钥、访问Token等密码字符串具有高度熵的特性,因此可以通过搜索高熵字符串来检测密码。

    10710

    Excel880 VBA代码助手专业版正式发布OFFICE+WPS均可用 兼容32+64 鼠标中键快捷插入代码

    历时一个月的紧张开发,VBA代码助手专业版终于问世了,对原加载宏版VBA代码助手进行了全面升级,焕然一新的代码助手重装上阵,希望一如既往的带给大家最好的代码收藏管理和快速插入体验 !...本程序数据库及配置文件在 安装目录\date\ 可自己手工硬备份,在需要恢复的时候替换原数据即可 注意:程序在安装时需要Windows的登录账户具有管理员权限,最好是右键管理员安装,安装程序会将插件信息写入注册表...主要功能: 满足VBA开发欢迎中的 代码插入,鼠标中键呼出插入菜单,极速插入代码。 代码收藏管理,树节点无限层级管理。 插件内置编辑器可代码高亮上色及折叠代码块,查看长代码更方便。...管理面板中搜索代码,双击树节点插入。...免费版限制如下 代码条数150条 不可导入导入 不可以在非Excel环境下实用 对99%的Excel vba开发者来说 免费版就够用了!!

    3.6K20

    即时通讯安全篇(一):正确地理解和使用Android端加密算法

    即时通讯安全篇(三):常用加解密算法与通讯安全讲解》《即时通讯安全篇(四):实例分析Android中密钥硬编码的风险》《即时通讯安全篇(五):对称加密技术在Android上的应用实践》《即时通讯安全篇(...JCA提供基本的加密框架,如证书、数字签名、消息摘要和密钥对产生器,对应的Android API中的以下几个包:JCE扩展了JCA,提供了各种加密算法、摘要算法、密钥管理等功能,对应的Android API...在加解密算法中,原始的数据和加密后的数据一般也是二进制数据,为了不传输出错,方便保存或者调试代码,一般需要对加密后的数据进行base64编码。...【开发者建议】:1、建议使用SHA-256、SHA-3算法:如使用SHA-256算法对message字符串做哈希:2、不建议使用MD2、MD4、MD5、SHA-1、RIPEMD算法来加密用户密码等敏感信息...(2)开发同学要防范密钥硬编码的毛病。而在实际开发中,密钥如何保存始终是绕不过的坎?

    9810

    字符处理——大小写转换编码知识扩展

    字母,在计算机内存的存储中,只是一些"01"的东西,在文件操作——编码中说到过。...(VBA.Asc(str) - 32) Else Debug.Print "不是小写字母" End If End Sub 字符串的比较,其实也就是根据编码进行判断数字大小来确定的...如果对中文字符使用Asc函数的话,会出现什么: Sub TestAsc() Dim str As String str = "中" Dim b() As Byte...和Byte数组的转换是很简单的,直接用等号就可以,因为String的底层就是Unicode(2字节)的Byte数组,所以第一行的输出说明字符中的Unicode编码是2D4E,作为整数输出就是20013,...Asc函数返回的其实是ANSI编码,对于英文字符那些,就是ASCII编码,而对于中文其实是GB2312编码,这个编码和VBA使用的Unicode编码是不一样的。

    90120

    VBA教程先导介绍

    Visual Basic for Applications(VBA)是一种事件驱动的编程语言,广泛应用于Microsoft Office应用程序(如Excel、Word和Access)中。...虽然Python在自动化领域的地位是毋庸置疑的,但是在特殊场景下只能使用VBA,尤其是对网络环境要求很严格的场合。...在VBA中,变量有不同的数据类型,如整数(Integer)、字符串(String)和布尔值(Boolean)等。定义变量时,可以使用Dim关键字。...数据类型VBA支持多种数据类型,包括但不限于:Integer(整数)Long(长整数)Single(单精度浮点数)Double(双精度浮点数)String(字符串)Boolean(布尔值)Date(日期...VBA提供了多种调试工具,如:断点:在代码中特定行设置断点,暂停代码执行。即时窗口:在代码运行时查看和修改变量值。监视窗口:监视变量和表达式的值。

    26010

    字符处理——大小写转换编程思路扩展

    = str End Function 注意这里的Mid(str, i, 1) = tmp,里面的Mid是一个语句,不是字符串处理函数。...功能是替换str中的字符。 实现了FUpperLowerSwap函数,我们只要调用这个函数就可以实现字符串中的字母大小写互换了。...2、思路扩展 函数里面主要是通过判断字符是否是小写字符或者是否是大写字符,然后进行转换,在这里这个功能比较简单,只需要两个If判断就可以。...通过前面的了解,我们知道字母都是ASCII编码的,数字不会超过255,所以,我们首先可以使用一个下标是0-255的数组,分别对应ASCII编码的字符,那么字母自然也能够和数组一一对应。...我们这里是希望能够实现字母的大小写转换,所以需要记录的就是字符要进行转换的时候,需要去做什么。

    71231

    从VBA的vbNullString认识API参数传递

    0 False 从输出来看,用=和StrComp进行对比,这2个东西是相同的!...这里只能进行猜测了,VBA在比较2个字符串的时候,可能是先读取长度,如果都为0,则判断为相同了,""和vbNullString在使用LEN函数的时候,返回的都是0。 那么,它们2个不同之处在哪里呢?...对API的参数传递,VBA为我们做了太多了,以至于使用者不需要明白底层原理就可以简单的使用。 如果了解一点C语言的知识,我们就能大概理解了。...VBA会帮使用者将VBA的String类型首先从Unicode转换为ANSI编码,然后取出转换后的Char数组的第一个地址,再将这个地址传递给了API,API如果有返回值,VBA就会做一个相反的操作,测试代码...String类型的编码转换,FindWindowByPtr得不到正确的结果。

    1.8K10

    文件操作——编码

    如果你只用VBA处理Excel的数据的话,一般都不会碰上编码的问题,但是一旦涉及到读取外部数据,就很有可能会碰上编码问题了。...2、VBA的编码: VBA对字符串的编码是按照Unicode编码方案里的UTF-16,也就是所有字符都是按照2个Byte来代表。如果你想查看,可以这样: ?...从图中可以看出,6个字符,需要使用12个容量的Byte数组来存储,你可以baidu查看一下字符a的编码,在ASCII中,a的编码是97,Unicode编码为了兼容ASCII编码,所有的ASCII字符,第...另外我们使用的中文都是用2个Byte代表, 3、Windows系统的编码: 我们在文件操作——读取中,自己手动创建了1个txt文本文档,在把数据读取出来之后,还使用了VBA.StrConv(b, vbUnicode...)进行了转换,这个的功能就是把ANSI编码转换成了VBA里的Unicode编码,那为什么我们手动创建的是ANSI编码呢?

    2K21

    移除重复值,使用VBA的RemoveDuplicates方法

    查找重复值、移除重复值,都是Excel中的经典问题,可以使用高级筛选功能,也可以使用复杂的公式,还可以使用VBA。...在VBA中,也有多种方式可以移除重复值,这里介绍RemoveDuplicates方法,一个简洁实用的方法。 示例数据如下图1所示,要求移除数据区域A1:D7中第3列(列C)中的重复值。...实际上,如果采用硬编码的话,一行代码即可完成: ActiveSheet.Range("A1:D7").RemoveDuplicates Columns:=3, Header:=xlYes RemoveDuplicates...示例:获取每个超市中销售量最多的区域 下面的数据是各超市在不同区域的销售量,已经按照销售量进行了统一排名,现在要获取每个超市销售量最多的区域,也就是说对于列C中重复出现的超市名称,只需保留第1次出现的超市名称的数据...欢迎到知识星球:完美Excel社群,进行技术交流和提问,获取更多电子资料,并通过社群加入专门的微信讨论群,更方便交流。

    8.2K10

    从VBA到Python,Excel工作效率如何提高?

    现在有了: xlwings库允许我们通过VBA调用Python脚本来进行两者的交互! ? 2 为什么要将Python与Excel VBA集成? 事实上,你可以在VBA中做任何事情。...最后,我们需要启用对 VBA 项目对象模型的信任访问。你可以通过导航到文件选项信任中心设置宏来做到这一点: ?...6 从VBA到Python 在我们开始编码之前,让我们首先确保在同一个页面上。打开Excel VBA 编辑器,点击 Alt + F11。返回以下屏幕: ?...在本例中,我们将看到如何在Excel之外执行操作,然后在电子表格中返回结果。 我们将从CSV文件中获取数据,对这些数据进行修改,然后将输出传递到Excel: 首先,VBA代码。...例2:从Excel中读取,用Python对其进行处理,然后将结果传递回Excel。 更具体地说,我们将读取一个 Greeting,一个 Name 和一个我们可以找到jokes的文件位置。

    11.3K20

    VBA代码库09:增强的CELL函数和INFO函数

    本文对其内容进行了整理并分享于此,希望能够有助于VBA代码的学习,同时留存这个自定义函数以备所需。...或 "help" 返回This的文本列表 ' This = 上面没有列出的任意字符串返回Environ(This) ' 如果Target为空(默认), 则Target被设置为引用此函数的单元格(如果在VBA...A1)或VBA单元格区域如Range("A1") ' 仿照Excel内置信息函数CELL和INFO ' 开发:wellsr.com Public FunctionNameOf(Optional ByVal...例如,公式: =nameof(" book ") 在我的示例中返回结果为: VBACodeLibrary09.xlsm 下面的公式: =nameof("Help") 输出可以在函数中使用的所有长格式文本值...如果在VBA中使用NameOf函数,那么参数Target必须是Range对象如Range(“A1”)或Cells(1)或ActiveCell。

    4.6K10
    领券