Модератор: Fastman
Код: Выделить всё
use Disassembler qw(print_insn);
my $fh = new FileHandle "<$ARGV[0]";
disassemble_fh($fh, \&print_insn);Код: Выделить всё
./perld.pl malware.pl_фряха фряха...paradox писал(а):ну там не на С++ и даже не на С
там два варианта
1) та меил варя писана на ассемблере и както упакована
2) писана на perl'e и скомпилирована перл компилеров в ELF выполняемый файл
вовсяком случае она из себя запускает /usr/bin/perl
и чтото декриптует или распаковывает толи через пайпы толи через /tmp/
сказать сложно
если это для фрибсд то запусти ее через truss
а /usr/bin/perl можно как то подставить туда чтото другое вместо перла
и оно думаю будет пробовать тому выдуманому перлу подставить декрипченый или распакованый поток уже нормальной перл программы
даа ELF это только машинный-код?
угуperl, python код можно скомпилировать как обычную Си программу (есть скрипт для этого стандартный)
у тебя perl стот?paradox писал(а): а как обратно? должны быть готовые утилиты
Код: Выделить всё
ee /usr/local/bin/perlccКод: Выделить всё
/usr/local/bin/perlccтам есть команды упаковщики http://perldoc.perl.org/functions/unpack.html , но не упаковщики которые делают бинарный файлparadox писал(а): угу
а как обратно? должны быть готовые утилиты
не уверенты уверен что elf перловский?
ну так ясно что ботProFTP писал(а):этого модуля в портах нету - ставить геморой, он в perl не переведет, только в asm
это обычный бот, наверное, ходил по ftp и ставил эти програмки, что там в нем смотреть
да system уже давно выключенProFTP писал(а):ну это вирус пароль на фтп украл на винде и зашел на сервак?
т.е. кто угодно может туда залить все что угодно...?
может нужно как-то system выключить?
на этом серваке про него забыли както...не суть. там модуль не дописан, и им никто не пользовался, гугл не пишет чтобы им кто-то пользовался http://www.google.com.ua/#hl=uk&q=use+D ... 4bacaee8e0paradox писал(а):незнаю
может это просто декомпилятор байт кода в asm
возьми проверь)
Код: Выделить всё
sub print_insn {
my ($insn, $arg, $comment) = @_;
undef $comment unless $comment;
if (defined($arg)) {
if ($insn eq 'newopx' or $insn eq 'ldop') { # threaded or unthreaded
my $type = $arg >> 7;
my $size = $arg - ($type << 7);
$arg .= sprintf(" \t# size:%d, type:%d %s", $size, $type) if $comment;
printf "\n# [%s %d]\n", $opname[$type], $opix++ if $comment;
} elsif (!$comment) {
;
} elsif ($insn eq 'newsvx') {
# TODO which type? SV, AV or GV. check arg
$arg .= "\t# ".$comment if $comment ne '1';
printf "\n# [%s]\n", 'SV';
} elsif ($insn eq 'gv_stashpvx') {
$arg .= "\t# ".$comment if $comment ne '1';
printf "\n# [%s]\n", "STASH";
} elsif ($insn eq 'ldsv') {
# TODO which type? SV, AV or GV. check arg
$arg .= "\t# ".$comment if $comment ne '1';
printf "\n# -%s-\n", 'SV';
} elsif ($insn eq 'gv_fetchpvx') {
$arg .= "\t# ".$comment if $comment ne '1';
printf "\n# [%s]\n", 'prototype';
} else {
$arg .= "\t# ".$comment if $comment ne '1';
}
printf "%s %s\n", $insn, $arg;
} else {
$insn .= "\t# ".$comment if $comment ne '1';
print $insn, "\n";
}
}