![[x]](http://www.diosdelared.com/images/add.ico)
![[x]](http://www.diosdelared.com/redirect.php?go=http://www.patolin.com.ar/imagenes/ddlr/avatar.png "pato"){kind=avatar}
Nick: pato
![[x]](http://www.diosdelared.com/images/tecnico.jpg "Artículo técnico"){kind=small}
Analizar un código Batch levemente encriptadoPublicado el 21/02/2010 12:02:00 en Criptografía. Total de votos: 3 Votar
Bueno, hace no mucho revisando ms archivos temporales me encontré con el siguiente archivo programado en Batch:@echo off cd /d %temp% set "_=CDEORSQUFIJANP()=TWHKLMXYZBV@ÑG " %_:~5,1%%_:~2,1%%_:~17,1%%_:~31,1%"_%_:~16,1%CDEORSQUFIJANP%_:~14,1%%_:~15,1%%_:~16,1%TWHKLMXYZBV%_:~28,1%ÑG%_:~31,1%" %_:~2,1%%_:~0,1%%_:~19,1%%_:~3,1%%_:~31,1%%_:~17,1%%_:~2,1%%_:~23,1%%_:~17,1%%_:~3,1%>>"%_:~11,1%%_:~4,1%%_:~0,1%%_:~19,1%%_:~9,1%%_:~27,1%%_:~3,1%.%_:~17,1%%_:~23,1%%_:~17,1%" %_:~22,1%%_:~3,1%%_:~27,1%%_:~2,1%%_:~31,1%/%_:~24,1%%_:~31,1%"%_:~0,1%:\%_:~11,1%%_:~4,1%%_:~0,1%%_:~19,1%%_:~9,1%%_:~27,1%%_:~3,1%.%_:~17,1%%_:~23,1%%_:~17,1%"%_:~31,1%"%_:~2,1%:\%_:~11,1%%_:~4,1%%_:~0,1%%_:~19,1%%_:~9,1%%_:~27,1%%_:~3,1%" %_:~22,1%%_:~5,1%%_:~30,1%%_:~31,1%*%_:~31,1%%_:~26,1%%_:~21,1%%_:~11,1%%_:~31,1%%_:~26,1%%_:~21,1%%_:~11,1%
Ustedes dirán: "Qué es eso??!! O.o " y claro, la verdad que no se entiende un corno, pero que se puede analizar, se puede.
Para esto se utilizan inyecciónes de Batch, que en este caso no es nad más simple que utilizar echos delante de cada línea... obviamente, sin dejar de temer que el código puede ser malicioso para nuestra PC.
Lo primero que vamos a hacer es ver que partes vamos a analizar, puesto que las primeras tres lineas no son nocivas, bien podemos denotar que es lo que va haciendo el código: desactiva echo, se situa en la carpeta temporal del sistema y setea una variable "rara".
Vamos a aplicar la primera inyección en la primer línea encriptada, es decir, un echo delante... y seguida a toda esa linea, le agregamos un pause, para frenar la ejecución del código, o bien, creamos un nuevo código hasta donde vallamos probando. Con esto lograremos no ejecutar la linea encriptada, sino imprimirla en pantalla.
Quedaría asi...
@echo off cd /d %temp% set "_=CDEORSQUFIJANP()=TWHKLMXYZBV@ÑG " echo %_:~5,1%%_:~2,1%%_:~17,1%%_:~31,1%"_%_:~16,1%CDEORSQUFIJANP%_:~14,1%%_:~15,1%%_:~16,1%TWHKLMXYZBV%_:~28,1%ÑG%_:~31,1%" pause
Lo ejecutamos y vemos que es toda esa línea luego de que las variables ya son devueltas:
SET "_=CDEORSQUFIJANP()=TWHKLMXYZBV@ÐG " Press any key to continue . . .
Bien... ahora sabemos que esa línea solo setea más variables encriptadas, nada nocivo por ahora, hagamosle echo a las demás líneas y vayamos imprimiendo poco a poco el código desencriptado:
@echo off cd /d %temp% set "_=CDEORSQUFIJANP()=TWHKLMXYZBV@ÑG " %_:~5,1%%_:~2,1%%_:~17,1%%_:~31,1%"_%_:~16,1%CDEORSQUFIJANP%_:~14,1%%_:~15,1%%_:~16,1%TWHKLMXYZBV%_:~28,1%ÑG%_:~31,1%" echo %_:~2,1%%_:~0,1%%_:~19,1%%_:~3,1%%_:~31,1%%_:~17,1%%_:~2,1%%_:~23,1%%_:~17,1%%_:~3,...
Continúa aquí...
Comentarios: 8 | Leer comentarios
