Adobe Flash是以往十年中最受开发设计的手机软件部件之一，但是这也使其变成 *** 攻击的总体目标。自2005年至今，仅Flash播放软件就被分派了1000好几个CVE。在其中，近900个系统漏洞的公共性系统漏洞得分系统软件(CVSS)得分成9或高些。

在与 *** 攻击博奕了那么长期后，Adobe总算决策在2020年弃用Flash。这一行为并不让人出现意外，由于全部主流浏览器都早已放弃了对Flash的适用。

但是，现阶段存有一种误会：即然Flash早已变成过去时了，是否大家就无须对它开展安全防范了。殊不知，历史时间告知大家，传统式技术性假如要被彻底更替，要花很长期。假如机构沒有立即取代Flash，则因为缺乏安全更新， *** 黑客会更为猖獗，安全性威协很有可能会超出Flash的生命期。

现阶段FLARE精英团队的恶意程序投资分析师依然在恶意程序样版中见到Flash系统漏洞的运用样版，因而，她们务必在Flash被彻底更换以前，寻找一个衔接的安全应急预案。这也是FLASHMINGO出現的缘故，它是一个全自动剖析SWF文件的架构。FLASHMINGO使投资分析师可以对异常的Flash样版开展归类，并以最少的投入进一步调研他们。它做为一个单独的应用软件会被集成化到各种各样剖析工作内容中，或是单独做为一个强劲的库应用。客户能够根据自定Python插件轻轻松松地拓展该专用工具的作用。

SWF和ActionScript3

在深入了解FLASHMINGO的內部原理以前，使我们了解一下Flash架构。Flash的SWF文件由块（称之为标记）构成，以完成特殊的作用。标记相互彻底单独，容许与旧版的Flash兼容。假如不兼容标记，则手机软件会忽视它。这代表着， *** 安全问题的关键与SWF的开发语言相关:ActionScript3 (AS3)。此开发语言被编译程序为字节码并置放在Do ActionScript ByteCode（DoABC）标记内。假如SWF文件包括DoABC标记，则字节码由Adobe Flash player中附加的专用型根据局部变量的vm虚拟机(VM)获取并实行，该vm虚拟机在AS3的状况下称之为AVM2。 AVM2的设计方案根据Java VM，一样遭受运行内存毁坏和逻辑漏洞的困惑，这种系统漏洞容许故意AS3字节码在Flash播放软件的前后文中实行该设备编码。仅有在极少数状况下，AVM2中才不会有以往的系统漏洞，但是依然必须应用ActionScript编码将系统软件放置合适靠谱运用的情况。比如，在开启运行内存毁坏以前清除堆。根据这种缘故，FLASHMINGO主要剖析AS3字节码。

FLASHMINGO的架构

FLASHMINGO运用开源系统SWIFFAS库来分析Flash文件，这时，全部二进制数据信息和字节码都被分析并储存在一个名叫SWFObject的大中型目标中。该目标包括与大家的剖析有关的SWF的全部信息内容：标记列表、相关全部方式的信息内容、字符串数组、变量定义和内嵌式二进制数据信息，它实质上是以一种便于查看的文件格式表明SWF文件。

FLASHMINGO是一组插件，能够在SWFObject上运作并获取趣味的信息内容。图1表明了FLASHMINGO以及插件与SWFObject中间的关联。

软件架构

FLASHMINGO早已包括了好多个有效的插件，包含了普遍的剖析，包含：

1.搜索异常的方式名字，很多实例包括开发设计期内应用的方式名字，例如“run_shell”或“find_virtualprotect”，此插件应用包括异常子字符串数组的方式标记故意样版。

2.发觉异常的变量定义，字节码中一些变量定义的存有很有可能偏向恶意程序或异常编码。比如，包括变量定义0x5A4D的编码可能是检索MZ标题文字的shellcode。

3.发觉异常的loop，故意主题活动常常产生在loop中。这包含编号、编解码和堆喷漆。这一插件标记包括具备趣味实际操作（如XOR或按位AND）的loop方式。它是一种简易的研讨式方式，可合理地检验大部分编号和编解码实际操作，及其别的必须进一步剖析的趣味编码。

4.查找全部置入的二进制数据信息；

5.应用FFDEC Flash Decompiler的反编译器插件。Flash Decompiler或称FFDec，FFDec是一个较为功能强大的根据JAVA平台开发的SWF反编译软件，也就是flash反编译软件。Flash Decompiler反编译软件可根据开启标志或是拖拽SWF文件到手机软件对话框中逐渐反汇编FLASH SWF/GFX/SWC文件。能够开启编写FLASH，出示里边的图型、文字、图象、视頻、响声、按键与字体样式架构脚本 *** 等資源。可另存EXE文件，还可导出来为FLA/XFL文件。对里边的資源能够删掉或导出来选定，更换文件或是开展RAW编写。

这一用Java撰写的反编译器模块能够作为单独的库。因为FLASHMINGO是用Python撰写的，因而应用此插件必须Jython在这里二种語言中间开展互操作。

应用你自己的插件拓展FLASHMINGO

FLASHMINGO很容易拓展，每一个插件都坐落于插件文件目录下自身的文件目录中。在运行FLASHMINGO时，检索全部插件文件目录以搜索列表文件(稍候将表述)，假如插件被标记为主题活动的，则申请注册插件。

研发人员出示了模板插件，假如你需要加上自身的插件，请拷贝模板文件目录，重新命名并编写其列表和编码。用YAML撰写的模板插件列表以下所显示：

```

# This is a template for easy development

name: Template

active: no

description: copy this to kickstart development

returns: nothing

```

此模板中最重要的主要参数是：name和active。 name主要参数在FLASHMINGO內部用以引入它。 active主要参数是一个布尔值（(yes或no)），标示此插件是不是应处在激活状态。默认设置状况下，全部插件（模板以外）都处在激活状态，但在一些状况下，客户很有可能期待禁止使用插件。主要参数叙述和回到是简易的字符串数组，用以向客户表明文本文档。最终，在程序流程启动分析插件列表。加上新插件或开启/禁止使用插件必须重启FLASHMINGO。

如今看来完成领域模型的具体编码，文件plugin.py包括一个名叫Plugin的类，唯一必须做的便是完成它的run方式。每一个插件都接受一个SWFObject案例做为主要参数。编码将与此目标互动，并以客户界定的自定文件格式回到数据信息。根据这类 *** ，能够撰写客户的插件来形成能够被其基础设施建设立即接受的数据信息。

使我们看一下根据解析xml在其中一个名叫binary_data的插件来建立插件是多么的非常容易，这一插件会默认设置回到SWF文件中的全部置入数据信息。假如客户特定了一个可选主要参数方式，那麼插件将在内嵌式数据信息中检索该字节数编码序列的搭配项，回到一个内嵌式数据流图和寻找该方式的偏移。