[系统安全] 二十八.WannaCry勒索病毒分析 (4)全网“最“详细的蠕虫传播机制解读

矫情吗；* 2022-11-07 04:15 1435阅读 1赞

**您可能之前看到过我写的类似文章，为什么还要重复撰写呢？只是想更好地帮助初学者了解病毒逆向分析和系统安全，更加成体系且不破坏之前的系列。因此，我重新开设了这个专栏，准备系统整理和深入学习系统安全、逆向分析和恶意代码检测，“系统安全”系列文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。换专业确实挺难的，逆向分析也是块硬骨头，但我也试试，看看自己未来四年究竟能将它学到什么程度，漫漫长征路，偏向虎山行。享受过程，一起加油~**

前文分享了WannaCry勒索病毒逆向分析，主要通过IDA和OD逆向分析蠕虫传播部分。这篇文章将继续详细讲解WannaCry蠕虫的传播机制，带领大家详细阅读源代码，分享WannaCry勒索病毒是如何传播感染的。作者分析该病毒一个月，一方面觉得自己技术菜，另一方面深知系统安全需要坚持，继续加油。希望文章对您有所帮助~

PS：如果想面试病毒分析工程师或逆向分析工程师，WannaCry的传播机理是常考的一个知识点，也希望能帮助到那部分同学。而且其强大的功能作者尽最大努力去叙述，只希望能帮助更多该领域的读者，也希望Github关注点赞一波。感恩同行，不负遇见。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]

作者作为网络安全的小白，分享一些自学基础教程给大家，主要是关于安全工具和实践操作的在线笔记，希望您们喜欢。同时，更希望您能与我一起操作和进步，后续将深入学习网络安全和系统安全知识并分享相关实验。总之，希望该系列文章对博友有所帮助，写文不易，大神们不喜勿喷，谢谢！如果文章对您有帮助，将是我创作的最大动力，点赞、评论、私聊均可，一起加油喔~

### 文章目录 ###

*  一.WannaCry背景
 *  二.WannaCry传播机制源码详解
 *   *  1.WannaCry蠕虫传播流程
     *  2.程序入口Start
     *  3.域名开关WinMain
     *  4.参数判断sub\_408090
     *  5.蠕虫安装流程sub\_407F20
     *  6.蠕虫服务传播流程sub\_4080000
     *  7.蠕虫初始化操作sub\_407B90
     *  8.局域网传播sub\_407720
     *  9.公网传播sub\_407840
     *  10.漏洞检测及创建通信连接sub\_407540
     *  11.发送SMB数据包sub\_4072A0
     *  12.获取Payload（dll+shellcode）
     *  13.提取shellcode
     *  14.shellcode分析之安装后门
     *  15.shellcode分析之APC注入
     *  16.dll导出及分析
     *  17.释放资源tasksche.exe
     *  18.勒索行为
 *  三.总结

**作者的github资源：**

*  WannaCry：[https://github.com/eastmountyxz/WannaCry-Experiment][https_github.com_eastmountyxz_WannaCry-Experiment]
 *  逆向分析：[https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis][https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]
 *  网络安全：[https://github.com/eastmountyxz/NetworkSecuritySelf-study][https_github.com_eastmountyxz_NetworkSecuritySelf-study]

> 从2019年7月开始，我来到了一个陌生的专业——网络空间安全。初入安全领域，是非常痛苦和难受的，要学的东西太多、涉及面太广，但好在自己通过分享100篇“网络安全自学”系列文章，艰难前行着。感恩这一年相识、相知、相趣的安全大佬和朋友们，如果写得不好或不足之处，还请大家海涵！  
>   
> 接下来我将开启新的安全系列，叫“系统安全”，也是免费的100篇文章，作者将更加深入的去研究恶意样本分析、逆向分析、内网渗透、网络攻防实战等，也将通过在线笔记和实践操作的形式分享与博友们学习，希望能与您一起进步，加油~
> 
>  *  推荐前文：[网络安全自学篇系列-100篇][-100]

**前文分析：**

*  [\[系统安全\] 一.什么是逆向分析、逆向分析基础及经典扫雷游戏逆向][_.]
 *  [\[系统安全\] 二.如何学好逆向分析及吕布传游戏逆向案例][_. 1]
 *  [\[系统安全\] 三.IDA Pro反汇编工具初识及逆向工程解密实战][_.IDA Pro]
 *  [\[系统安全\] 四.OllyDbg动态分析工具基础用法及Crakeme逆向][_.OllyDbg_Crakeme]
 *  [\[系统安全\] 五.OllyDbg和Cheat Engine工具逆向分析植物大战僵尸游戏][_.OllyDbg_Cheat Engine]
 *  [\[系统安全\] 六.逆向分析之条件语句和循环语句源码还原及流程控制][_. 2]
 *  [\[系统安全\] 七.逆向分析之PE病毒原理、C++实现文件加解密及OllyDbg逆向][_._PE_C_OllyDbg]
 *  [\[系统安全\] 八.Windows漏洞利用之CVE-2019-0708复现及蓝屏攻击][_.Windows_CVE-2019-0708]
 *  [\[系统安全\] 九.Windows漏洞利用之MS08-067远程代码执行漏洞复现及深度提权][_.Windows_MS08-067]
 *  [\[系统安全\] 十.Windows漏洞利用之SMBv3服务远程代码执行漏洞（CVE-2020-0796）复现][_.Windows_SMBv3_CVE-2020-0796]
 *  [\[系统安全\] 十一.那些年的熊猫烧香及PE病毒行为机理分析][_._PE]
 *  [\[系统安全\] 十二.熊猫烧香病毒IDA和OD逆向分析（上）病毒初始化][_._IDA_OD]
 *  [\[系统安全\] 十三.熊猫烧香病毒IDA和OD逆向分析（中）病毒释放机理][_._IDA_OD 1]
 *  [\[系统安全\] 十四.熊猫烧香病毒IDA和OD逆向分析–病毒释放过程（下）][_._IDA_OD 2]
 *  [\[系统安全\] 十五.Chrome浏览器保留密码功能渗透解析、蓝屏漏洞及某音乐软件漏洞复现][_.Chrome]
 *  [\[系统安全\] 十六.PE文件逆向基础知识(PE解析、PE编辑工具和PE修改)][_.PE_PE_PE_PE]
 *  [\[系统安全\] 十七.Windows PE病毒概念、分类及感染方式详解][_.Windows PE]
 *  [\[系统安全\] 十八.病毒攻防机理及WinRAR恶意劫持漏洞(脚本病毒、自启动、定时关机、蓝屏攻击)][_._WinRAR]
 *  [\[系统安全\] 十九.宏病毒之入门基础、防御措施、自发邮件及APT28宏样本分析][_._APT28]
 *  [\[系统安全\] 二十.PE数字签名之(上)什么是数字签名及Signtool签名工具详解][_.PE_Signtool]
 *  [\[系统安全\] 二十一.PE数字签名之(中)Signcode、PEView、010Editor、Asn1View工具用法][_.PE_Signcode_PEView_010Editor_Asn1View]
 *  [\[系统安全\] 二十二.PE数字签名之(下)微软证书漏洞CVE-2020-0601复现及Windows验证机制分析][_.PE_CVE-2020-0601_Windows]
 *  [\[系统安全\] 二十三.逆向分析之OllyDbg动态调试复习及TraceMe案例分析][_._OllyDbg_TraceMe]
 *  [\[系统安全\] 二十四.逆向分析之OllyDbg调试INT3断点、反调试、硬件断点与内存断点][_._OllyDbg_INT3]
 *  [\[系统安全\] 二十五.WannaCry勒索病毒分析 (1)Python复现永恒之蓝漏洞实现勒索加密][_.WannaCry_ _1_Python]
 *  [\[系统安全\] 二十六.WannaCry勒索病毒分析 (2)MS17-010漏洞利用及病毒解析][_.WannaCry_ _2_MS17-010]
 *  [\[系统安全\] 二十七.WannaCry勒索病毒分析 (3)蠕虫传播机制解析及IDA和OD逆向][_.WannaCry_ _3_IDA_OD]
 *  \[系统安全\] 二十八.WannaCry勒索病毒分析 (4)全网"最"详细的蠕虫传播机制解读

> 声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。该样本不会分享给大家，分析工具会分享。（参考文献见后）

--------------------

# 一.WannaCry背景 #

2017年5月12日，WannaCry蠕虫通过永恒之蓝MS17-010漏洞在全球范围大爆发，感染大量的计算机。WannaCry勒索病毒全球大爆发，至少150个国家、30万名用户中招，造成损失达80亿美元，已影响金融、能源、医疗、教育等众多行业，造成严重的危害。

WannaCry是一种“蠕虫式”勒索病毒软件，由不法分子利用NSA泄露方程式工具包的危险漏洞“EternalBlue”（永恒之蓝）进行传播。该蠕虫感染计算机后会向计算机中植入敲诈者病毒，导致电脑大量文件被加密。

WannaCry利用Windows系统的SMB漏洞获取系统的最高权限，该工具通过恶意代码扫描开放445端口的Windows系统。被扫描到的Windows系统，只要开机上线，不需要用户进行任何操作，即可通过SMB漏洞上传WannaCry勒索病毒等恶意程序。

![在这里插入图片描述][20200413232834492.png_pic_center]

WannaCry利用永恒之蓝漏洞进行网络端口扫描攻击，目标机器被成功攻陷后会从攻击机下载WannaCry蠕虫进行感染，并作为攻击机再次扫描互联网和局域网的其他机器，行成蠕虫感染大范围超快速扩散。

木马母体为mssecsvc.exe，运行后会扫描随机IP的互联网机器，尝试感染，也会扫描局域网相同网段的机器进行感染传播，此外会释放敲诈者程序tasksche.exe，对磁盘文件进行加密勒索。木马加密使用AES加密文件，并使用非对称加密算法RSA 2048加密随机密钥，每个文件使用一个随机密钥，理论上不可攻破。同时@WanaDecryptor@.exe显示勒索界面。其核心流程如下图所示：

![在这里插入图片描述][20200427114613863.png_pic_center]

WannaCry勒索病毒主要行为是传播和勒索。

*  **传播**：利用基于445端口的SMB漏洞MS17-010(永恒之蓝)进行传播
 *  **勒索**：释放文件，包括加密器、解密器、说明文件、语言文件等；加密文件；设置桌面背景、窗体信息及付款账号等。

--------------------

# 二.WannaCry传播机制源码详解 #

WannaCry蠕虫主要分为两个部分：蠕虫部分用于病毒传播，并释放出勒索程序；勒索部分用于加密用户文件索要赎金。大家可能看到的很多样本都是没有传播部分代码或域名开关的。接下来是作者一点点的摸索，希望对您有所帮助，也欢迎批评和指正。

## 1.WannaCry蠕虫传播流程 ##

WannaCry运行的整体流程推荐安天公司的框架图，如下图所示：

*  主程序文件利用漏洞传播蠕虫，运行WannaCry勒索程序
 *  WannaCry勒索程序释放tasksche.exe，对磁盘文件进行加密勒索
 *  @WanaDecryptor@.exe显示勒索信息，运行TOR客户端

![在这里插入图片描述][20200427113925721.png_pic_center]

其中，图中上半部分为WannaCry蠕虫的传播部分，该蠕虫通过网络进行传播，有自我复制和传播迅速等特点。传播步骤如下：

**(1) 连接远程域名开关**  
**(2) 判断参数个数，选择蠕虫安装流程或服务传播流程**

*  **<2时，进入安装流程，点击直接运行**  
    ① 创建服务：服务名称mssecsvc2.0，参数为–m security  
    ② 释放并启动tasksche.exe程序
 *  **≥2时，进入服务传播流程**  
    ① 服务函数中执行传播感染功能  
    ② 打开mssecsvc2.0服务并设置其状态  
    ③ 蠕虫初始化操作后，会进行局域网和公网传播(建立局域网或公网IP表，创建IP线程)  
    ④ 尝试连接445端口，测试是否存在SMB漏洞  
    ⑤ 如果存在漏洞，则建立通信连接并发送Payload(X86或X64)进行攻击  
    ⑥ 执行shellcode并使用APC注入将生成的dll注入到进程lsass.exe  
    ⑦ dll调用导出函数PlayGame，释放资源文件并保存为mssecsvc.exe执行

作者的分析工具主要是IDA Pro静态分析和OllyDbg动态调试，大家分析恶意样本一定在虚拟机中，并做好相关安全保护（如断网、物理隔离、共享协议端口关闭等）。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]

--------------------

## 2.程序入口Start ##

通过OD打开样本wcry.exe，发现程序入口地址为0x00409A16，对应start()函数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]

通过一些初始化设置，紧接着会调用WinMain()函数进入主程序。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]

主程序调用关系如下图所示，调用地址为0x00409B45。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]

--------------------

## 3.域名开关WinMain ##

主程序运行后会先连接域名（KillSwitch）hxxp://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

*  如果该域名连接成功，则直接退出且不触发任何恶意行为
 *  **如果该域名无法访问，则触发传播勒索行为，执行sub\_408090函数**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]

该代码会调用InternetOpenUrl打开对应的网址，并根据其访问情况执行不同的操作。如果网址无法访问，会调用sub\_408090()函数创建蠕虫服务。这也意味着如果蠕虫作者注册并访问了该URL，WannaCry蠕虫也就停止了传播。目前该域名已被英国的安全公司接管，网上怀疑该操作能有效防止在线沙箱检测。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]

--------------------

## 4.参数判断sub\_408090 ##

接着进入sub\_408090函数，通过判断参数个数来执行相应的流程。

*  **sub\_407F20函数：当参数<2，进入蠕虫安装流程**
 *  **sub\_408000函数：当参数≥2，进入蠕虫服务传播流程并创建mssecsvc2.0服务**

该函数调用了相关的API函数，比如创建服务(OpenSCManagerA)、打开服务(OpenServiceA)等。当我们直接运行wcry.exe时，传递的参数是1（程序本身），则进入蠕虫安装程序；当我们传递参数3（程序本身、二进制程序、服务参数）时，则进入蠕虫服务传播流程。

*  推荐绿盟API词典：[恶意样本分析手册——API函数篇 - 李东宏][API_ -]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]

mssecsvc2.0服务对应的数据部分如下图所示，该服务会伪装成微软安全中心的服务，服务的二进制文件路径为当前进程文件路径，参数为“-m security”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]

OD动态调试如下图所示，包括调用CALL访问函数，将服务PUSH入栈等。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]

--------------------

## 5.蠕虫安装流程sub\_407F20 ##

蠕虫安装流程主要调用sub\_407F20函数，包括sub\_407C40和sub\_407CE0。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]

**(1) sub\_407C40：创建mssecsvc2.0服务，并启动该服务，参数为”-m security”，蠕虫伪装为微软安全中心。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]

**(2) sub\_407CE0：读取并释放资源tasksche.exe至C:\\Windows路径，创建线程运行。**  
主要调用的函数包括GetProcAddress、MoveFileEx、CreateFile等。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]

动态调用过程如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]

释放的C:\\Windows\\tasksche.exe效果如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]

--------------------

## 6.蠕虫服务传播流程sub\_4080000 ##

当参数≥2时，蠕虫执行服务传播流程，调用sub\_4080000实现，其代码如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]

sub\_4080000会打开mssecsvc2.0服务并设置其状态，服务设置函数包括RegisterServerCtrlHandlerA、SetServiceStatus。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]

动态分析过程如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]

核心函数是sub\_407BD0，它的功能包括：

*  **初始化操作**
 *  **局域网传播**
 *  **公网传播**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]

--------------------

## 7.蠕虫初始化操作sub\_407B90 ##

蠕虫初始化操作主要调用sub\_407B90函数实现，具体功能包括：

*  **WSAStartup：初始化网络**
 *  **sub\_407620：初始化密码**
 *  **sub\_407A20：获取Payload**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]

函数WSAStartup主要是进行相应的Socket库绑定。函数原型如下：

*  **int WSAStartup(WORD wVersionRequested, LPWSADATA lpWSAData)**  
    使用Socket程序之前必须调用WSAStartup函数，以后应用程序就可以调用所请求的Socket库中的其它Socket函数
 *  **int WSACleanup (void)**  
    应用程序在完成对请求的Socket库的使用后，要调用WSACleanup函数来解除与Socket库的绑定并且释放Socket库所占用的系统资源
 *  **gethostbyaddr \\ gethostbyname \\ gethostname \\ getprotolbynumber \\ getserverbyname \\ getservbypor**t  
    Socket接口的检索有关域名、通信服务和协议等Internet信息的数据库函数

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]

**继续调用sub\_407A20函数从内存中读取MS17-010漏洞利用代码，Payload分为x86和x64两个版本，32位大小为0x4060，64位大小为0xc8a4。**

![在这里插入图片描述][20200504212523967.png_pic_center]

--------------------

## 8.局域网传播sub\_407720 ##

蠕虫初始化操作后，会生成两个线程，分别进行局域网和公网传播。

*  result = sub\_407B90
 *  v1 = (void \*)beginthreadex(0, 0, sub\_407720, 0, 0, 0)
 *  v3 = (void \*)beginthreadex(0,0, sub\_407840, v2, 0, 0)

**局域网传播： 蠕虫根据用户内网IP，生成覆盖整个局域网网段表，然后循环尝试攻击。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]

这里存在一个疑问：你怎么能确定v1是局域网传播，而v3是外网传播呢？  
在函数sub\_407720中，会继续调用线程执行sub\_4076B0函数。同时，函数如果同时调用10个以上IP地址，会执行Sleep暂停100毫秒（1秒=1000毫秒）。

*  **核心函数：sub\_4076B0**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]

函数sub\_407720会调用函数sub\_409160，接着调用GetAdaptersInfo获取网卡配置和IP地址详细信息，最终进行局域网IP地址拼接和传播。而外网传播的IP地址是通过四个随机数产生的，通过这些差异就能判断是局域网传播还是外网传播。

![在这里插入图片描述][20200504223237489.png_pic_center]

函数sub\_4076B0会连接445端口，如果445端口连接成功，接着发起漏洞攻击。如果连接超过10分钟则终止该线程。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]

接下来调用sub\_407540函数发起漏洞攻击。

*  **核心函数：sub\_407540**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]

--------------------

## 9.公网传播sub\_407840 ##

**公网传播：公网IP地址通过4个随机数拼接而成，然后循环尝试攻击。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]

sub\_407840函数会生成四个随机数，然后调用aDDDD进行IP拼接，表示成%d.%d.%d.%d。0xFF表示255，对应最大地址，v8余数不等于127内网。接着调用sub\_407540函数进行外网传播。

*  **in\_addr\_t inet\_addr(const char cp)**  
    作用：将一个点分十进制的IP转换成一个长整数型数  
    参数：字符串，一个点分十进制的IP地址  
    返回值：如果正确执行将返回一个无符号长整数型数，如果传入的字符串不是一个合法的IP地址，将返回INADDR\_NONE
 *  **char \* inet\_ntoa(struct in\_addr in)**  
    作用：将一个十进制网络字节序转换为点分十进制IP格式的字符串  
    参数：一个网络上的IP地址  
    返回值：如果正确，返回一个字符指针，指向一块存储着点分格式IP地址的静态缓冲区；如果错误返回NULL

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]

在sub\_407840函数中，继续调用线程执行sub\_407540函数，该函数为漏洞利用核心函数。

![在这里插入图片描述][20200504224124538.png_pic_center]

--------------------

## 10.漏洞检测及创建通信连接sub\_407540 ##

IP地址拼接好后，会创建漏洞利用线程，调用sub\_407540函数。

*  **第一步：检测目标是否可以安装双星脉冲DOUBLEPULSAR(端口445)**  
    如果需要，后续可以分享一篇永恒之蓝和双星脉冲相关知识。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]

*  **第二步：利用MS17-010漏洞，尝试建立通信连接并发送漏洞利用程序数据包**  
    通过connet建立Socket通信连接，再调用send和recv进行数据包握手确认。最后会调用核心函数sub\_406F50。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]

--------------------

## 11.发送SMB数据包sub\_4072A0 ##

建立通信连接(connect、send、recv)，发送利用Eternalblue的蠕虫SMB数据包。具体流程包括：（还需进一步分析）

*  建立连接：IP地址、445端口
 *  先发送一个SMB请求
 *  接受正常回复后往SMB做缓冲区溢出
 *  先往SMBv2的缓冲区发数据，然后是往SMBv1发大量数据，最后往SMBv2发数据
 *  SMBv1连接关闭后SMBv2附近会产生空洞
 *  形成永恒之蓝攻击后门
 *  最后用双星脉冲来将dll注入有后门主机并运行

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]

--------------------

## 12.获取Payload（dll+shellcode） ##

样本在利用漏洞MS17-010获取目标主机权限后，并不会直接发送蠕虫自身到目标，而是发送一段经过简单异或加密后的Payload到目标机器中执行。在sub\_4077A0函数中，v7是系统标记，当v7等于1时表示32位操作系统，当v7等于0时表示64位操作系统。

*  **核心函数：sub\_406F50（发送Payload）**

![在这里插入图片描述][20200505121814836.png_pic_center]

Payload由shellcode和包含样本自身的dll组成，Payload分为64位与32位，函数sub\_406F50如下图所示。

*  **32位shellcode起始地址0x42E758**
 *  **64位shellcode起始地址0x42FA60**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]

dll同样分为64位与32位版本，根据目标主机系统的不同，读取不同版本的dll

*  **32位dll起始地址0x40B020，大小为0x4060字节**
 *  **64位dll起始地址0x40F080，大小为0xc8a4字节**

![在这里插入图片描述][20200505125726445.png_pic_center]

Shellcode相关信息

*  **32位shellcode起始地址0x42E758，大小为0x1305字节**
 *  **64位shellcode起始地址0x42FA60，大小为0x1800字节**

![在这里插入图片描述][20200505130025249.png_pic_center]

![在这里插入图片描述][20200505130047171.png_pic_center]

--------------------

## 13.提取shellcode ##

对应的反汇编代码如下，包括x64\_payload\_addr、x86\_payload\_addr。

![在这里插入图片描述][20200505125840622.png_pic_center]

32位Shellcode获取：0x42E758~0x42FA5D。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]

64位Shellcode提取：0x42FA60~0x43125F。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]

--------------------

## 14.shellcode分析之安装后门 ##

Shellcode反汇编及功能分析如下：

*  **第一部分：安装后门**
 *  **第二部分：利用安装的后门，APC向应用程序注入dll**  
    ① 查找基地址  
    ② 获取Hash计算方法  
    ③ 根据基地址、函数hash字符查找导出函数地址  
    ④ 查找需要用到导出函数地址并保存导出函数hash对照表  
    ⑤ 查找目标进程，通过hash编码782BF0E7h进程名查找（lsass.exe）  
    ⑥ 使用查到导出函数的地址，并进行APC注入  
    ⑦ 最后将shellcode自身以及其所分配的内存清0

> shellcode部分作者还需要进一步研究，加油~

安装后门主要执行sub\_401370函数，在远程电脑上安装双星脉冲DOUBLEPULSAR后门。

![在这里插入图片描述][2020050513094984.png_pic_center]

![在这里插入图片描述][2020050513101011.png_pic_center]

--------------------

## 15.shellcode分析之APC注入 ##

> 参考两篇文章：  
> [\[原创\]WannaCry勒索软件中“永恒之蓝”漏洞利用分析 - 展博][WannaCry_ -]  
> [\[原创\]通过Wannacry分析内核shellcode注入dll技术 - dragonwang][Wannacry_shellcode_dll_ - dragonwang]

shellcode第二部分是利用安装的后门，APC向应用程序注入dll。

**(1) 查找ntoskrnl.exe基地址**  
首先找到gs\[38\]处的\_KIDTENTRY64指针，在KIDTENTRY64的偏移4，得到中断处理的函数指针，这个地址在ntoskrnl.exe中，我们就找到了ntoskrnl.exe的地址空间，然后去地址空间的页头地址对比PE头MZ，找到则函数返回。

![在这里插入图片描述][20200505131509249.png_pic_center]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]

**(2) 获取Hash计算方法**  
需要使用的函数并没有硬编码写到程序里，而是硬编码了这些函数的hash值。所以我们需要首先知道函数编码和hash值得对应关系。Hash计算方法如下，用c++代码注释了一下。

![在这里插入图片描述][20200505131903821.png_pic_center]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]

**(3) 根据ntoskrnl.exe基地址、函数hash字符查找导出函数地址**

![在这里插入图片描述][20200505132108191.png_pic_center]

find\_func函数如下，有了ntoskrnl.exe所有导出函数hash对照表，整个程序流程就明朗了。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]

**(4) 查找需要用到ntoskrnl.exe导出函数地址并保存备用**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]

**(5) 查找目标进程，通过hash编码782BF0E7h进程名查找（lsass.exe）**  
查找目标进程，通过hash编码782BF0E7h进程名查找，直接没找到“lsass.exe”，查找方法是使用pid暴力查找。具体通过pid调用PsLookupProcessByProcessId得到pEProcess结构指针，再通过pEProcess调用PsGetProcessImageFileName得到进程名。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]

**(6) 使用查到导出函数的地址，并进行APC注入**  
APC注入，使用查到导出函数的地址，注释见截图。第六个参数包含了第三层shellcode和dll代码，可自行dump出研究，第七个参数指定为usermode。

![在这里插入图片描述][20200505132910189.png_pic_center]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]

**(7) 最后将shellcode自身以及其所分配的内存清0**

![在这里插入图片描述][20200505133059433.png_pic_center]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]

内核部分的注入代码主要流程就分析完了，到用户层的shellcode自己实现的一个pe loader而没有使用LoadLibary，这样使得注入更加隐蔽，查询PEB\_LDR\_DATA的也查不到被注入了dll。

--------------------

## 16.dll导出及分析 ##

shellcode使用APC注入将生成的dll注入到系统进程lsass.exe，导出的dll文件如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 43]

**火绒剑检测结果如下，通过APC注入将生成的dll注入到系统进程lsass.exe，接着释放资源mssecsvc.exe，最后释放勒索程序tasksche.exe。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 44]

--------------------

## 17.释放资源tasksche.exe ##

dll具有一个导出函数PlayGame，它会将母体程序释放到被攻击的计算机，保存为C:\\WINDOWS\\mssecsvc.exe并执行。下面是作者分析导出的dll静态代码，主函数PlayGame。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 45]

PlayGame包括两个核心函数：sub\_180001014和sub\_1800010F8。

*  **sub\_180001014：释放资源**
 *  **sub\_1800010F8：运行文件**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 46]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 47]

最后释放资源tasksche.exe(勒索加密程序)到C:\\WINDOWS目录下，并将其启动。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 48]

被攻击的计算机包含蠕虫的完整功能，除了会被勒索，还会继续使用MS17-010漏洞进行传播，这种传播呈几何级向外扩张，也是该蠕虫短时间内大规模爆发的主要原因。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 49]

--------------------

## 18.勒索行为 ##

> 勒索行为之前的文章已经进行了还原

运行病毒程序后的界面如下图所示，已经成功被勒索。再次强调，所有代码必须在虚拟机中执行，并且关闭文件共享。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 50]

样本的解压密码是WNcry@2ol7，通过资源工具也可以查看到。解压后的文件结构如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 51]

msg文件夹下就是所有的语言包。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 52]

其他文件内容如下，下一篇文章会详细介绍勒索原理。

*  b.wnry: 中招敲诈者后桌面壁纸
 *  c.wnry: 配置文件，包含洋葱域名、比特币地址、tor下载地址等
 *  f.wnry: 可免支付解密的文件列表
 *  r.wnry: 提示文件，包含中招提示信息
 *  s.wnry: zip文件，包含Tor客户端
 *  t.wnry: 测试文件
 *  u.wnry: 解密程序

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 53]

--------------------

# 三.总结 #

写到这里，这篇文章就介绍完毕。主要讲解了WannaCry蠕虫的传播机制，也是作者一个月的研究成果，感觉是全网WannaCry蠕虫传播部分最详细的一篇文章了。最后，感觉自己真的好菜，但也需要加油，希望您喜欢这篇文章~

1.  WannaCry蠕虫传播流程
2.  程序入口Start
3.  域名开关WinMain
4.  参数判断sub\_408090
5.  蠕虫安装流程sub\_407F20
6.  蠕虫服务传播流程sub\_4080000
7.  蠕虫初始化操作sub\_407B90
8.  局域网传播sub\_407720
9.  公网传播sub\_407840
10. 漏洞检测及创建通信连接sub\_407540
11. 发送SMB数据包sub\_4072A0
12. 获取Payload（dll+shellcode）
13. 提取shellcode
14. shellcode分析之安装后门
15. shellcode分析之APC注入
16. dll导出及分析
17. 释放资源tasksche.exe
18. 勒索行为

作者分享github资料：

*  [https://github.com/eastmountyxz/WannaCry-Experiment][https_github.com_eastmountyxz_WannaCry-Experiment]
 *  [https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis][https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]

这篇文章中如果存在一些不足，还请海涵。作者作为网络安全初学者的慢慢成长路吧！希望未来能更透彻撰写相关文章。同时非常感谢参考文献中的安全大佬们的文章分享，感谢师傅、师兄师弟、师姐师妹们的教导，深知自己很菜，得努力前行。

**欢迎大家讨论，是否觉得这系列文章帮助到您！任何建议都可以评论告知读者，共勉。**

(By:Eastmount 2021-03-10 深夜12点写于WH [http://blog.csdn.net/eastmount/][http_blog.csdn.net_eastmount] )

--------------------

**参考文献**  
为了更好帮助读者，作者将参考文献提前。下面给出下各大安全厂商及安全大佬对WannaCry蠕虫分析的文章，强烈推荐大家阅读，作者也吸取了它们的精华，在此感谢。

*  安全厂商样本分析：  
    \[1\] [安天针对勒索蠕虫“魔窟”（WannaCry）的深度分析报告][WannaCry]  
    \[2\] [\[分享\] 勒索病毒WannaCry深度技术分析——详解传播、感染和危害细节 - 火绒安全][_WannaCry_ -]  
    \[3\] [WannaCry勒索病毒详细解读 - 腾讯电脑管家][WannaCry_ - 1]  
    \[4\] [NSA Eternalblue SMB 漏洞分析 - 360核心安全][NSA Eternalblue SMB _ - 360]  
    \[5\] [针对WannaRen勒索软件的梳理与分析 - 安天][WannaRen_ -]  
    \[6\] [【权威报告】WanaCrypt0r勒索蠕虫完全分析报告 - 360追日][WanaCrypt0r_ - 360]  
    \[7\] [WannaCry勒索病毒分析报告 - 瑞星][WannaCry_ - 2]
 *  安全大佬样本分析：  
    \[1\] [对WannaCry的深度分析 - 鬼手56（勒索部分详解）][WannaCry_ - _56]  
    \[2\] [\[原创\]WannaCry勒索软件中“永恒之蓝”漏洞利用分析 - 展博][WannaCry_ -]  
    \[3\] [\[原创\]通过Wannacry分析内核shellcode注入dll技术 - dragonwang][Wannacry_shellcode_dll_ - dragonwang]  
    \[4\] [\[病毒分析\]WannaCry病毒分析(永恒之蓝) - 小彩虹][WannaCry_ - 3]  
    \[5\] [WannaCry勒索病毒逆向和内网传播数据分析 - sec360zz][WannaCry_ - sec360zz]  
    \[6\] [首发 | Wannacry勒索软件母体主程序逆向分析（含临时解决方案自动化工具）- expsky][_ Wannacry_- expsky]  
    \[7\] [\[原创\]WannaCry深度详细分析报告（很细很深）- anhkgg][WannaCry_- anhkgg]  
    \[8\] [https://github.com/rapid7/metasploit-framework][https_github.com_rapid7_metasploit-framework]  
    \[9\] [https://www.zhihu.com/question/59792644][https_www.zhihu.com_question_59792644]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221023/71ed007015e24280ac026a153aff410b.png
[https_github.com_eastmountyxz_WannaCry-Experiment]: https://github.com/eastmountyxz/WannaCry-Experiment
[https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]: https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis
[https_github.com_eastmountyxz_NetworkSecuritySelf-study]: https://github.com/eastmountyxz/NetworkSecuritySelf-study
[-100]: https://blog.csdn.net/eastmount/category_9183790.html
[_.]: https://blog.csdn.net/eastmount/article/details/108708564
[_. 1]: https://blog.csdn.net/eastmount/article/details/108832086
[_.IDA Pro]: https://blog.csdn.net/eastmount/article/details/108881705
[_.OllyDbg_Crakeme]: https://blog.csdn.net/Eastmount/article/details/108956863
[_.OllyDbg_Cheat Engine]: https://blog.csdn.net/Eastmount/article/details/109107692
[_. 2]: https://blog.csdn.net/Eastmount/article/details/110944699
[_._PE_C_OllyDbg]: https://blog.csdn.net/Eastmount/article/details/111027618
[_.Windows_CVE-2019-0708]: https://blog.csdn.net/Eastmount/article/details/111085560
[_.Windows_MS08-067]: https://blog.csdn.net/Eastmount/article/details/111341612
[_.Windows_SMBv3_CVE-2020-0796]: https://blog.csdn.net/Eastmount/article/details/111518785
[_._PE]: https://blog.csdn.net/Eastmount/article/details/111706890
[_._IDA_OD]: https://blog.csdn.net/Eastmount/article/details/111769346
[_._IDA_OD 1]: https://blog.csdn.net/Eastmount/article/details/111999346
[_._IDA_OD 2]: https://blog.csdn.net/Eastmount/article/details/111712482
[_.Chrome]: https://blog.csdn.net/Eastmount/article/details/112852434
[_.PE_PE_PE_PE]: https://blog.csdn.net/Eastmount/article/details/113141466
[_.Windows PE]: https://blog.csdn.net/Eastmount/article/details/113527586
[_._WinRAR]: https://blog.csdn.net/Eastmount/article/details/113574883
[_._APT28]: https://blog.csdn.net/Eastmount/article/details/113619336
[_.PE_Signtool]: https://blog.csdn.net/Eastmount/article/details/113744316
[_.PE_Signcode_PEView_010Editor_Asn1View]: https://blog.csdn.net/Eastmount/article/details/113774264
[_.PE_CVE-2020-0601_Windows]: https://blog.csdn.net/Eastmount/article/details/113829876
[_._OllyDbg_TraceMe]: https://blog.csdn.net/Eastmount/article/details/113923604
[_._OllyDbg_INT3]: https://blog.csdn.net/Eastmount/article/details/113964355
[_.WannaCry_ _1_Python]: https://blog.csdn.net/Eastmount/article/details/114194949
[_.WannaCry_ _2_MS17-010]: https://blog.csdn.net/Eastmount/article/details/114274291
[_.WannaCry_ _3_IDA_OD]: https://blog.csdn.net/Eastmount/article/details/114457643
[20200413232834492.png_pic_center]: /images/20221023/8d4212d09f174368b5c1bc948cec1e12.png
[20200427114613863.png_pic_center]: /images/20221023/65a90e67b524496e82f39ccf88580cc2.png
[20200427113925721.png_pic_center]: /images/20221023/6dee6f16abaa44afb47d408e35f98b53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221023/07b8e0456658483cabd796c6979fb49f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221023/86468d1be9c1442ca654106113fd1631.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221023/2937bb97682c426cb838b06b0bed1f2d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221023/ef25b046afe941fdac4f981ff51dda6f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221023/4f9e633f079e43c5830a93cb9d202564.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221023/17c5c171f7454d589e53edbd4f4c880d.png
[API_ -]: http://blog.nsfocus.net/malware-sample-analysis-api/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221023/9b613b3bfb9b40b8ad0cdad9950d9b22.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221023/8066d10434dd4be09aeb139d05170dc8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221023/519d69b07dbb46b8b28d382683bd4f41.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20221023/8ea9bccef1a74e04822b175bb66770ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20221023/926f9cd36d3942039c5e90a05bfab443.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20221023/aafe17b0552542589e0ac1fbc8f256b8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20221023/26df7c2a6bbf4630a453efa65c4793c0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]: /images/20221023/f83e608f845945a8af6d4758675bbe4d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]: /images/20221023/7dc309b4a9af4f28a4a6e34e76eb9188.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]: /images/20221023/40c922bb99dd4a9b97fdc23f26975c7a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]: /images/20221023/aa04eb360d1941e18e95d57c0108c04a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]: /images/20221023/164dcbea37404093bfc225d06539c850.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]: /images/20221023/d37e205847b3444f978581f037be8c47.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]: /images/20221023/01c108cb55d84b55be19693829f9f420.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]: /images/20221023/f356837a9cf44c5b9bed1022a54d1723.png
[20200504212523967.png_pic_center]: /images/20221023/0de43d6ccacb437e917567963b46c4f5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]: /images/20221023/717fecc5c6944acba9bb082b13d8591a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]: /images/20221023/96c30855da61450b9ce6cc1a72cceff0.png
[20200504223237489.png_pic_center]: /images/20221023/9b53fee5b8bc49d1a5c28bf0f1da1e40.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]: /images/20221023/803570b34963432cb63438bf9be7453e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]: /images/20221023/93edd8d0fa604b3da19df85aab04ca70.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]: /images/20221023/aa6a52f271e0405584613ef786a9f45c.png
[20200504224124538.png_pic_center]: /images/20221023/c94e08af10dd4b94bb4a0c1b56e07802.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]: /images/20221023/43109e77c8f247a581094911bbb06c9e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]: /images/20221023/bb2c3c790b9247cd9107626d1868754c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]: /images/20221023/a8b3b740d91f4c25b3bfaadb33e8f9d2.png
[20200505121814836.png_pic_center]: /images/20221023/228c0907ac0a41dbb51bd8be35c372b8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]: /images/20221023/c8e0038921b343528c4f7cc6805c58fd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]: /images/20221023/02e735fbd7ec49ddb51aef77d954773f.png
[20200505125726445.png_pic_center]: /images/20221023/895330c9dbd641d5b5c8fc1f8621f553.png
[20200505130025249.png_pic_center]: /images/20221023/0d5f879db57b4efba7d490b52c74a262.png
[20200505130047171.png_pic_center]: /images/20221023/4aabb3340f4640f49b58fb98704a1562.png
[20200505125840622.png_pic_center]: /images/20221023/073dd593250a423298af50c3af785978.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]: /images/20221023/c4d8f19ac4b5433e94f42dff61336ebf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]: /images/20221023/6f857a1c05c74c00ae05fbd4ca14f82e.png
[2020050513094984.png_pic_center]: /images/20221023/506b93e7fa07415d9bd19b0b8686526b.png
[2020050513101011.png_pic_center]: /images/20221023/9e13d30b76ba4c3a92975e526718ba83.png
[WannaCry_ -]: https://bbs.pediy.com/thread-217734.htm
[Wannacry_shellcode_dll_ - dragonwang]: https://bbs.pediy.com/thread-221756.htm
[20200505131509249.png_pic_center]: /images/20221023/de1e9198613e4e369489d54158764a37.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]: /images/20221023/9123ecb6df014841b2beee8a91eb426f.png
[20200505131903821.png_pic_center]: /images/20221023/4deec6b3fb7b4715905ea51c07df8cb8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]: /images/20221023/006c4c4837ab449b8d57c6ab41c7047b.png
[20200505132108191.png_pic_center]: /images/20221023/d3b8321066f2451f991747dae5cdefa2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]: /images/20221023/f7b7e29796d74b969a719a9c67aa837f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]: /images/20221023/ee41ef98ad0a4b93a559759d224a1890.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]: /images/20221023/7121462487c94f7db66422015b163889.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]: /images/20221023/3c16eaf883dc446aa53e6f90b29b8bb5.png
[20200505132910189.png_pic_center]: /images/20221023/018f5c826f094130bfba8f34530a952a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]: /images/20221023/eb8730852bb54e73866b7f3a41e04dc8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]: /images/20221023/3d85ce1580f849299ab797b7567230bc.png
[20200505133059433.png_pic_center]: /images/20221023/9a886528dc094c9bb27c7d6423d4f051.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]: /images/20221023/a2b9773bf1d14ee9881f97083b8fef59.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 43]: /images/20221023/97f37d5334bb4ac5988fe00654e33739.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 44]: /images/20221023/0ca9ecf0d36f419a80b12c422758dcec.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 45]: /images/20221023/5c09fcd744b64e4592b9258bf9396e9a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 46]: /images/20221023/61ef14fcc15b40c590e49ea5d0788cf3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 47]: /images/20221023/0f158d03d7f444ff9bb02bcf4b444bc1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 48]: /images/20221023/e443afc1722040e791869e768970319b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 49]: /images/20221023/7f17ab077354439b849372b563e04fe9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 50]: /images/20221023/c7f75be157bd40f8b36b422ca80ffdb9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 51]: /images/20221023/385c3ce5b7cd4779a669fa786e006f41.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 52]: /images/20221023/085ad225c753433e9c798f50fb56ff3c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 53]: /images/20221023/ab8275a7c4fd48528fa4b0a43193d345.png
[http_blog.csdn.net_eastmount]: http://blog.csdn.net/eastmount/
[WannaCry]: https://www.antiy.com/response/wannacry.html
[_WannaCry_ -]: https://www.52pojie.cn/thread-608742-1-1.html
[WannaCry_ - 1]: https://www.freebuf.com/articles/system/135196.html?mType=Group
[NSA Eternalblue SMB _ - 360]: https://blogs.360.cn/post/nsa-eternalblue-smb.html
[WannaRen_ -]: https://mp.weixin.qq.com/s?__biz=MjM5MTA3Nzk4MQ==&mid=2650174694&idx=1&sn=97862a88a90a8ac081acb1dffb3a893e
[WanaCrypt0r_ - 360]: https://www.anquanke.com/post/id/86092
[WannaCry_ - 2]: https://www.freebuf.com/articles/paper/134637.html
[WannaCry_ - _56]: https://blog.csdn.net/qq_38474570/article/details/87716826
[WannaCry_ - 3]: https://www.cnblogs.com/wensday/p/9099386.html
[WannaCry_ - sec360zz]: https://www.freebuf.com/news/134989.html
[_ Wannacry_- expsky]: https://www.freebuf.com/vuls/134602.html
[WannaCry_- anhkgg]: https://www.freebuf.com/column/135722.html
[https_github.com_rapid7_metasploit-framework]: https://github.com/rapid7/metasploit-framework
[https_www.zhihu.com_question_59792644]: https://www.zhihu.com/question/59792644