勒索病毒WannaCry深度技术分析

本篇文章13072字，读完约33分钟

雷锋网注:此文由天鹅绒安全授权的雷锋网寄宿频道转载

一.概述

5月12日，在高风险漏洞“永恒之蓝”的帮助下，全球范围内的恶意软件爆发了。据报道，包括美国、英国、中国、俄罗斯、西班牙、意大利、越南等100多个国家遭到大规模袭击。中国的许多工业组织和大企业也遭到了攻击，有些单位甚至全军覆没。近年来，这种严重的损失是罕见的。

本报告将从传播途径、危害方式和结果、威胁用户群体等方面逐一澄清这种恶性病毒的各个方面的真相，以帮助大家了解和解决病毒，防范未来可能出现的变异病毒，澄清一些谣言和谎言。

1.1病毒攻击行为和结果

被恶意病毒攻击的计算机文件将被加密和锁定。通常，受害者可以在支付赎金后获得解密密钥并恢复这些文件。然而，根据tinder工程师的分析，受到恶意攻击的用户可能会永远丢失这些文件。

wannacry病毒存在一个致命的缺陷，即病毒作者不能清楚地识别哪些受害者支付了赎金，因此很难给出相应的解密密钥，因此即使用户支付了赎金，他也可能无法顺利获得密钥，并且计算机系统和文件仍然无法恢复。

至于互联网上流传的各种“解密方法”，它们基本上是无用的。请不要听信谎言，以免造成更多的财产损失。一些安全厂商提供的“解密工具”实际上只是“文件恢复工具”，可以恢复一些被删除的文件，但效果有限。

由于病毒会生成加密的用户文件，然后删除原始文件，因此可以通过文件恢复工具恢复原始的未加密文件。但是，由于病毒过于频繁地修改文件系统，删除的原始文件数据块会被覆盖，实际恢复效果有限。随着系统的持续运行，通过恢复工具恢复数据的可能性将大大降低。

1.2传输路径和攻击模式

根据天鹅绒实验室的技术分析，病毒分为蠕虫部分和固件部分。前者用于传播和释放病毒，而后者攻击用户的加密文件。

事实上，蠕虫是一种常见的计算机病毒。通过互联网和电子邮件传播的特点是自我复制和快速传播。病毒制造者利用了“永恒的蓝色”，一个不久前由国家安全局(nsa)泄露的windows smb远程利用工具。

据报道，蠕虫代码将在运行后连接到域名:

iuqerfsodp9 ifjafosdfjhgosurijfaeewrwergwea

如果域名可以成功连接，直接停止它。如果无法访问上述域名，将安装病毒服务并在局域网和外部网络中传播。

但是不管这个“魔法开关”是否打开，病毒都会攻击用户并锁定文件。此外，这种交换机程序很容易被病毒制造商删除，因此将来可能会出现没有交换机的变种病毒。

1.3弱势用户群体

目前，病毒的受害者大多是工业组织和大型企业，很少有个别互联网用户感染的报道。下面，我们从操作系统和网络结构的角度来解释易受攻击的用户群。

首先，病毒只攻击windows计算机，如果不打补丁，几乎所有的windows系统都会被攻击。在windows vista、windows server 2008、windows 7、windows server 2008 r2、windows 8.1、windows server 2012、windows server 2012 r2和windows server 2016版本中，如果用户开始自动更新或安装相应的更新修补程序，他们可以抵御病毒。

Windows10是最安全的，因为默认情况下它的系统会自动更新，所以它不会受到这种病毒的影响。同时，unix、linux、android等操作系统不会受到攻击。

同时，目前，这种病毒通过共享端口传播，同时在公共网络和内联网上传播。直接暴露在公共网络上且没有相应操作系统补丁的计算机很有可能被感染，而通过路由拨号的个人和企业用户不会受到公共网络的直接攻击。

1.4 tinder将继续追逐wannacry

目前，针对“蠕虫”软件攻击的行动仍未结束。在这里，天鹅绒安全专家提醒用户不要过于担心，“天鹅绒安全软件”已经迅速采取措施，完成紧急升级。通过天鹅绒官方网站下载软件，并升级到最新版本，以防御和杀死病毒。

自从5月12日，当病毒出现的时候，所有的组织和用户都很害怕。最近，一些耸人听闻的言论如2.0新变种出现了。到目前为止，天鹅绒已经收集了所谓的“崇拜者”的最新版本。然而，通过比较分析，我们发现“变体”有明显的人为修饰的痕迹，而且是爱管闲事的人在散布谣言。天鹅绒实验室可以负责任地告诉你，目前没有新的版本和变种。

这种病毒将来会变异成新的“变种”吗？天鹅绒实验室将跟踪新的病毒变种，并在遇到新变种时升级产品。默认情况下，天鹅绒产品会自动升级。请随意使用它们，无需任何设置。内联网用户可以下载tinder产品，并通过外联网将其升级到最新版本，然后他们可以使用内联网计算机进行安装。

网络盗版是互联网历史上罕见的“网络安全事件”，因为它传播迅速，影响广泛。对于安全供应商来说，这是一个巨大的考验，“安全”必须回归主流。同时，它提升了全社会的网络安全意识。

二、样本分析

病毒分为两部分:

1.

蠕虫部分用于传播病毒和释放软件。

2.

勒索病毒，加密用户文件，索要赎金。

2.1蠕虫的详细分析:

2.1.1 .

蠕虫代码将在运行后连接到域名:

iuqerfsodp9 ifjafosdfjhgosurijfaeewrwergwea

如果域名可以成功连接，直接退出。

对于网络上这种“扼杀开关”的存在有很多看法。我们认为相对可靠的解释是开关的存在是为了检测安全软件沙箱。这种技术在恶意代码混淆器中更常见，但是除了“kill switch”的几个样本被人工修改之外，没有批量生成和混淆病毒的迹象。此外，如果它真的是针对安全软件沙盒的，那么与之前针对沙盒的示例相比，这段代码太简单了，而且它的位置太明显了。因此，恐怕只有恶意代码作者才能解释放置这种“低级”的“终止开关”的具体原因。

2.1.2 .

如果上述域名不可访问，将安装病毒服务，服务的二进制文件路径是当前进程文件路径，参数是:-m安全，服务将启动。

2.1.3 .

释放资源到c:\windows目录中的tasksche.exe(这个程序是一个ransomware)并启动它。

2.1.4 .

蠕虫服务启动后，它将利用ms17-010漏洞进行传播。通信分为两个渠道，一个是局域网通信，另一个是公网通信。如下图所示:

局域网传播的主要代码如下:

病毒会根据用户计算机内联网的ip生成一个覆盖整个局域网网段的表，然后依次尝试攻击。相关代码如下:

公共网络传播的主要代码如下。病毒会随机生成ip地址，并试图发送攻击代码。

Smb漏洞攻击数据包数据，如下图所示:

蠕虫病毒的Pe文件包含两个动态库文件，它们是攻击模块的有效载荷，即x86版本的有效载荷、0x4060和x64版本的有效载荷以及0xc8a4的有效载荷。

两个有效负载都是无效的pe动态库文件，只有资源目录结构，没有特定的资源。在病毒攻击之前，它会构造两块内存，并在内存中结合负载和蠕虫病毒本身来有效地攻击负载。代码如下图所示:

有效攻击有效载荷模型如下:

攻击有效负载的完整资源如下。资源中的第一个dword是病毒大小，其次是病毒本身。

然后，利用ms17-010漏洞，通过apc将动态库注入被攻击计算机的lsass.exe，并执行有效载荷动态库的导出函数playgame。这个函数非常简单，它的功能是将资源“w”释放给被攻击的计算机“c:windows\mssecsvc.exe”并执行它，如下图所示:

火绒剑监控被攻击的计算机如下:

被攻击的计算机包含了病毒的全部功能，除了被勒索外，还会利用ms17-010漏洞继续传播，这种传播将呈几何级数增长，这也是病毒在短时间内大规模爆发的主要原因。下图:

目前，攻击内部网ip要求用户的计算机直接暴露在公共网络中，没有相应操作系统补丁的计算机受到影响。因此，通过路由拨号的个人用户不会通过公共网络受到直接攻击。如果企业网络也通过通用路由出口接入公共网络，企业网络中的计算机将不会受到公共网络的直接攻击。然而，在现实中，一些组织的计算机直接连接到公共网络，而内部网络类似于大型局域网，因此一旦暴露在公共网络中的计算机被攻破，整个局域网将面临被感染的风险。

2.2软件的详细分析:

2.2.1程序资源包含带密码的压缩文件，一组文件在用密码“wncry@2ol7”解压缩后被释放:

1)taskdl.exe，删除所有带有“*”的临时文件。临时目录中的“wncryt”扩展名。

2)taskse.exe，运行任何会话的指定程序。

3)解密程序u.wnry被称为@ @wanadecryptor@。请在发布后运行。

4) b.wnry敲诈图片资源。

5)s.wnry，它包含洋葱路由器组件的压缩包。病毒编写者在“黑暗网络”中设置了ransomware服务器，并需要通过tor.exe与服务器通信。

6)c.wnry，洋葱路由器地址信息。

7)t.wnry，解密后获取加密文件的主逻辑代码。

8)r.wnry，勒索问答

2.2.2通过命令行修改所有文件的权限是完全访问权限。命令行如下:

icacls。/grant everyone:f /t /c /q

2.2.3解密t.wnry文件数据，得到包含主加密逻辑代码的动态库，并调用动态库中的导出函数，通过模拟加载库和getprocaddress函数执行其加密逻辑。

调用勒索动态库代码，如下图所示:

为了讹诈主逻辑，将首先导入存储在映像中的rsa公钥，然后调用cryptgenkey生成一组rsa算法的Sessionkeys。之后，这组密钥的公钥通过cryptexportkey导出，然后写入00000000.pky文件。用刚刚导入的rsa公钥加密会话密钥中的私钥，并将其存储在00000000.eky中，如下图所示:

如果遍历的文件扩展名在要加密的文件扩展名列表中，如下图所示:

当前文件路径将被添加到文件操作列表中，文件操作将在遍历文件后执行。代码如下:

对于每个要加密的文件，将调用cryptgenradom随机生成aes密钥，然后会话密钥中的rsa公钥将用于加密aes密钥，该密钥将存储在加密数据文件头中，然后原始文件数据将使用该aes密钥加密。如下图所示:

整个加密过程如下图所示:

由于病毒会生成加密的用户文件，然后删除原始文件，因此可以通过文件恢复工具恢复原始的未加密文件。但是，由于病毒过于频繁地修改文件系统，删除的原始文件数据块会被覆盖，实际恢复效果有限。随着系统的持续运行，通过恢复工具恢复数据的可能性将大大降低。

3.新品种“万年青”的描述

在早期版本的“万年青”病毒中有一个“终止开关”开关，这意味着它在病毒中被检测到:

" iuqerfsodp9 ifjafosdfjhgosurijfaeewrwergwea "

无论这个网站是否可访问，如果它是可访问的，它将不会继续传播使用“永恒的蓝色”漏洞。

现在域名已经注册，这个版本的“wannacry”的传输功能已经关闭，因为这个代码本身没有加密，所以它很可能被黑客修改谁得到了病毒修改的样本，并放开开关，以保持病毒传播。

到今天为止，天鹅绒收集的所谓“万能药”的最新版本，正如我们推测的，互联网上的两个“热炒”变种，sha256，是:

32f 24601153 be 0885 F11 d 62 E0 A8 a2 f 0280 a 2034 fc 981d 8184180 C5 D3 B1 B9 E8 cf

c8 d 816410 ebfb 134 ee 14d 287 a 34 ce a9 d 34d 627 a2 C5 e 16234 ab 726 cf9 FD e47 EC 6

与早期的“崇拜者”相比

sha256:

24d 004 a 104 D4 d 54034 dbcffc 2 a4 b 19 a 11 f 39008 a 575 aa 614 ea 04703480 b 1022 c

有明显的人为修改痕迹，如下图所示:

该示例只修改了十六进制的两个字节，这使得“kill开关”无效。这种修改不会影响火绒的检测。

除了修改“kill switch”的域名外，另一个样本还修改了病毒携带的勒索模块。经过测试，勒索代码已经被修改和破坏，所以它不能运行。下图:

除了上述两个样本，廷德尔截获了另一个人工修改的“wannacry”样本，该样本也被修改，不能运行，廷德尔仍然可以被检测到。Sha256如下:

99 c 0d 50 b 088 df 94 CB 0 b 150 a 203 de 6433 CB 97d 4f 8 FD 3b 106 ce 442757 C5 fa 35 c 4

截至本次分析完成，tinder尚未截获关闭所谓“关闭开关”的病毒样本。？

四.附录

样品sha256

虫

24d 004 a 104 D4 d 54034 dbcffc 2 a4 b 19 a 11 f 39008 a 575 aa 614 ea 04703480 b 1022 c

32f 24601153 be 0885 F11 d 62 E0 A8 a2 f 0280 a 2034 fc 981d 8184180 C5 D3 B1 B9 E8 cf

c8 d 816410 ebfb 134 ee 14d 287 a 34 ce a9 d 34d 627 a2 C5 e 16234 ab 726 cf9 FD e47 EC 6

赎回

ed01 BF bc9 eb5 bbea 545 af 4d 01 BF 5 f 1071661840480439 c6e 5 babe8 e 080 e41 aa

4a 468603 fdcb 7 a2 EB 5770705898 cf9 ef 37 aade 532 a 7964642 ECD 705 a 74794 b 79

2ca 2d 550 e 603d 74 dedda 03156023135 b 38 da 3630 CB 014 E3 d 00 b 1263358 C5 f 00d

e2d 1 e 34 c 79295 e 1163481 b 3683633d 031 ca B9 e 086 B9 AE 2 ac5 e 30 b 08 def 1 b 0 b 47

ec9d 3423338 d3a 0 bfccacaf 685366 CFB 8 a9 ECE 8 deddbd 08 E8 a3 d 6446 a 85019 d3a

F5 cbff 5c 100866 DD 744 dcbb 68 ee 65 e 711 f 86 c 257 dfcc 41790 A8 f 63759220881 e

f7c 7b 5 E4 b 051 a5 BD 0017803 f 40 af 13 bed 224 C4 b 0 FD 60 b 890 b 6784 df 5 BD 63494

88 be 9 ee 3 ce 0 f 85086 AEC 1 F2 f 8409247 E8 ab 4a 7a 7 c8 a 07 af 851 F8 df 9814 adee 5

5d 26835 be 2cf 4f 08 F2 beff 301 c 06d 05035d 0a 9 EC 3 facc 71 df 22813595 c 0 b 9

e 989935 bb 173 c 239 a2 B3 c 855161 f 56 de 7 c 24 C4 e7a 79351 D3 a 457 DBF 082 b 84d 7b

4d 67 e6c 708062 e 970d 020413 e 460143 ed 92 bebd 622 E4 b 8 EFD 6 D6 a9 fdcd 07 BDA 8

eeb 9 cd6 a1 C4 b 3949 B2 ff 3134 a 77d 6736 b 35977 f 951 B9 C7 c 911483 b5 caeb 1 C1 FB

24d 004 a 104 D4 d 54034 dbcffc 2 a4 b 19 a 11 f 39008 a 575 aa 614 ea 04703480 b 1022 c

c 365 ddaa 345 cfcaf3d 629505572 a 484 cf 5221933d 68 E4 a 52130 b 8 bb 7 bada F9

32f 24601153 be 0885 F11 d 62 E0 A8 a2 f 0280 a 2034 fc 981d 8184180 C5 D3 B1 B9 E8 cf

c8 d 816410 ebfb 134 ee 14d 287 a 34 ce a9 d 34d 627 a2 C5 e 16234 ab 726 cf9 FD e47 EC 6

fc 626 Fe 1 E0 F4 d 77 b 34851 A8 c 60 cdd 11172472 da 3 b 9325 bfe 288 AC 8342 F6 c 710 a

be 22645 c 61949 ad 6a 077373 a7 d6cd 85 E3 FAE 44315632 f 161 ADC 4c 99 D5 A8 e 6844

1 be 0b 96d 502 c 268 CB 40 da 97 a 16952d 89674 a 9329 CB 60 BAC 81 a 96 e 01 cf 7356830

c 354 a9 a 0 BBB 975 c 15 e 884916 DCE 251807 aae 788 e 68725 b 512 a 95 f 7 b 580828 c 64

6 BF 1839 a 7e 72 a 92 a2 bb 18 fbed f 1873 e 4892 b 00 ea 4b 122 e 48 AE 80 fac 5048 db1a 7

E0 ec1 ad 116d 44030 ad 9e F5 b 51 f 18 ff 6160 a 227 a 46 ffcf 64693335 c 7 FB 946 fad 6

63 c8 a 30963265353532d 80 a 41 CAE 5d 54 b 31 E5 C2 D6 B2 a 92551 D6 dcadd0 dedb

b4d 607 FAE 7d 9745 F9 ced 081 a 92 a 2d cf 96 F2 d 0 c 72389 a 66 e 20059 e 021 f 0 b 58618

67 eed F3 f 13 e 2638 de 7d 028 AAF 1 e 116410562 C5 d 15 a9 e 62 a 904 f 758770 dc6 BF

5 F2 b 33 deee 53390913 FD 5 FB 3979685 a3 db 2 a7 a1 ee 872d 47 EFC 4 F8 F7 d 9438341 f

01b 628 fa 60560 c 0 CB 4a 332818 CB 380 a 65d 0616d 19976 c 084 E0 C3 ea 433288 b 88

16493 ECC 4c 4 BC 5746 CBE 96 BD 8 af 001 f 733114070d 694 db 76 ea 7b 5a 0 de 7 ad 0ab

D8 a 9879 a 99 AC 7b 12 e 63 E6 bcae 7 f 965 FB f1 b 63d 892 a 8649 ab 1 d6b 08 ce 711 f 7127

7e 369022 da 51937781 B3 EFE 6 c 57 f 824 f 05 cf 43 CB 66 B4 a 24367 a 19488d 2939 E4

9 b 60 c 622546 DC 45 CCA 64 df 935 b 71 c 26 DCF 4886 D6 fa 811944 DBC 4e 23 db 9335640

a1d 23 db 1 f1 E3 cc 2 C4 aa 02 f 33 FEC 96346d 9 D5 d 5039 fc2 ed 4 a3 c 65 c 34 b 79 C5 d 93

CEB 51 f 66 c 371 b 5233 e 474 a 605 a 945 c 05765906494 CD 272 b 0 b 20 b5 ECA 11626 c 61

3d cbb 0 C3 ede 91 F8 F2 e 9 ef b 0680 Fe 0d 479 F9 B9 CD 94906 a 86 dec 415 f 760 c 163 e 1

043 e0d 0 D8 b8 CDA 56851 F5 b 853 f 244 f 677 BD 1 FD 50 f 869075 ef 7 ba 1110771 f 70 c 2

b 66 db 13d 17 AE 8 bcaf 586180 E3 DCD 1 e2e 0 a 084 b 6bc 987 AC 829 bbff 18 C3 be 7 F8 b 4

940 dec 2039 C7 FCA 4a 08d 08601971836916 c6ad 5193 be 07 a 88506 ba 58 e 06 D4 b4d

B3 c 39 aeb 14425 f 137 b5 BD 0 FD 7654 f1 d6a 45 c 0 e 8518 ef 7 e 209 ad 63 D8 DC 6d 0 BAC 7

aee 20 f 9188 a5c 3954623583 c 6 b 0 e 6623 EC 90 D5 cd3 fdec 4e 1001646 e 27664002 c

a 141 e 45 C3 b 121 aa 084 f 23 ebbff 980 C4 b 96 AE 8 db 2 A8 D6 FDE 459781 a6 d 8 a5 e 99 a

09 a 46 B3 E1 be 080745 a6 D8 d 88 D6 b5 BD 351 B1 c 7586 E0 DC 94d 0 c 238 ee 36421 CAFA

7966d 843 e 5760 ECE 99 BD 32 a 15 D5 CD 58 DC 71 b 1324 FDC 87 e 33 be 46 f 377486 a1 B4 b

11 d0f 63 c 06263 f 50 b 972287 B4 bbd 1 Abe 0089 BC 993 f 73d 75768 b 6b 41 E3 D6 d 49

5d 8123 db 7094540954061 a1 B1 FBC 56 eed CD 9e 0110 b 62d 0f 54206 E3 e 75 a 39776 a

11011 a 590796 F6 c 52 b 046262 F2 f 60694310 fa 71441363d 9116 ada 7248 e 58509 a

9 cc 32 c 94 ce 7 DC 6 e 48 f 86704625 b 6 CDC 0 FD 0 D2 CD 7 ad 769 E4 d 0 bb 1776903 e 5a 13

4186675 CB 6706 F9 d 51167 FB 0 f 14 CD 3f 8 fcfb 0065093 f 62 b 10 a 15 F7 d 9 a6 c8 d 982

5 ad 4 EFD 90 CDE 01d 26 cc 6 f 32 f 7 ce 3 ce 0 B4 d 4951d 4 b 94 a 19 aa 097341 aff 2 caec

B9 C5 d 4339809 E0 ad 9 a 00d 4 D3 DD 26 fdf 44 a 32819 a54 abf 846 bb 9 b 560d 81391 c 25

63 BD 325 cc 229226377342237 f 59 a 0 af 21 AE 18889 AE 7c 7a 130 FBE 9 FD 5652707 af

a50 D6 db 532 a 658 ebebebbe 4c 13624 BC 7 bdada 0 BF 4 b 0 f 279 E0 c 151992 f 7271 c 726

2584 e 1521065 e 45 EC 3c 17767 c 065429038 fc 6291 c 091097 ea 8 b 22 c8 a 502 c 41 DD

b 47e 281 bfbeeb 0758 F8 c 625 bed5 C5 a 0d 27e E8 e 0065 ceeadd 76 b 0010d 226206 f 0

c1f 929 AFA 37253d 28074 E8 fdaf 62 f 0e 3447 ca3 ed 9 b 51203 f 676 c 1244 b5 b 86955

4c 69 f 22 FD 92 b 54 FBC 27 f 27948 af 15958 adfbc 607d 68 D6 ed 0 faca 394 c 424 CEE

201 f 42080 E1 c 989774d 05 D5 b 127 A8 cd4b 4781 f 1956 b 78 df 7 c 01112436 c 89 B2 c 9

22 CDF 145 e 5792 a 22 ad 6349 ABA 37d 960 db 77 af7 E0 b 6 CAE 826d 228 b 8246705092

5 dee 2 AC 983640d 656 F9 c 0 ef 2878 ee 34 CDA 5e 82 a 52d 3703 f 84278 AC 372877346d

1e 6753 f 948 fa 648 ef 9 E0 d 85795 b 7 f 090968 ee 1 f 240 EFC 0628283776 ea 55 CCB 0 f

7 bb 9 ea 2c 0 f 53 fa 96883 c 54 fa 4b 107764 a 6319 f 6026 e 4574 c 9 fee C2 CB 7d 9e 7d 21

9174 c 0772 a5f 871 e 58 c 385 c 01 EEA 1 ed 4b 706675 bf9 BD 6a 1667 B9 D3 c 40 ACB 6 fc

3 E6 de 9 e 2 baac f 930949647 c 399818 E7 a2 caea 2626 df 6a 468407854 AAA 515 eed 9

a 3900 daf 137 c 81 ca 37 a4 BF 10e 9857526d 3978 be 085 be 265393 f 98 CB 075795740

ca 29 de 1 DC 8817868 c 93 e 54 b 09 f 557 Fe 14 e 40083 c 0955294 df 5 BD 91 f 52 ba 469 c8

57 c 12d 8573 D2 f 3883 A8 a 0 ba 14 E3 EEC 02 a1 c 61 dee 6b 675 b 6 c 0d 16 e 221 c 3777 f 4

fc 626 Fe 1 E0 F4 d 77 b 34851 A8 c 60 cdd 11172472 da 3 b 9325 bfe 288 AC 8342 F6 c 710 a

190d 9 C3 e 071 a 38 CB 26211 BF ffeb 6 C4 bb 88 BD 74 c 6 BF 99 db 9 bb 1 f 084 c 6a 7 E1 df 4e

31 c 2024d 0 df 684 a 968115 E4 C3 fc 5703 ef 0 ea 2d E1 b 69 ECE 581589 e 86 ba 084568 a

0bb 221 BF 62d 875 CCA 625778324 Fe 5 BD 6907640 f 6998d 21 f 3106 a 0447 aabc 1 e3c

e14 f1 a 655d 54254d 06d 51 CD 23 a2 fa 57 b 6 ffdf 371 cf 6b 828 ee 483 B1 B1 d6d 21079

e 8450 DD 6 f 908 b 23 c 9 CBD 6011 Fe 3d 940 b 24 c 0420 a 208d 6924 e 2d 920 f 92 c 894 a 96

AEA 79945 c 0f 2f 60 de 43193 e 1973 FD 30485 b 81d 06 f 3397d 397 CB 02986 b 31e 30d 9

9 FB 39 f 162 c 1 e 1 EB 55 fbf 38 e 670 D5 e 329d 84542d 3d fcdc 341 a 99 F5 d 07 C4 b 50977

78 E3 f 87 f 31688355 c 0 f 398317 B2 d 87d 803 BD 87 ee 3656 C5 a7 c 80 f 0561 EC 8606 df

7 c 465 ea 7 bcccf 4 f 94147 add 808 f 24629644 be 11 c 0 ba 4823 f 16 E8 c 19 e 0090 f 0ff

24d 004 a 104 D4 d 54034 dbcffc 2 a4 b 19 a 11 f 39008 a 575 aa 614 ea 04703480 b 1022 c

2d DC 29 a 646 c 1579 e 79 c 0 B4 cc 86 a5 d 0 c 9 ed 57 af 6 ff 240 e 959 b 17 cdcf 77d 863026

4b 76 e 54 de 0243274 f 97430 b 26624 c 44694 fbde 3289 ed 81 a 160 e 0754 ab 9 f 56 f 32

498 b8 b 889 bb 1 f 02 a 377 a6 A8 f 0e 39 F9 db 4e 70 cccad 820 c6e 5b c 5652 e 989 AE 6204

f 8812 f1 deb 8001 F3 b 7672 b 6 fc 85640 ECB 123 BC 2304 b 563728 e 6235 ccbe 782d 85

dff 26 a9 a 44 baa 3c 109 b 8 df 41 AE 0a 301d 9e 4a 28 ad 7 BD 7721 BBB 7 CCD 137 bfd 696

593 bbcc 8 f 34047 da 9960 b 8456094 c 0 EAF 69 caaf 16 f 1626 b 813484207 df 8 bd8 af

149601 e 15002 f 78866 ab 73033 EB 8577 f 11 BD 489 a 4ce a 87 b 10 c 52 a 70 fdf 78d 9ff

ac7f 0 FB 9 a 7 bb 68640612567153 a 157 e 91d 457095 EAD FD 2 a 76d 27 a 7 f 65 c 53 ba 82

雷锋网注:这篇文章是由Lei Feng.com转载(公开号:雷锋网)，这是授权天鹅绒安全。

雷锋文章版权所有。严禁擅自转载。详情请参考转载说明。

来源：搜狐微门户