恶意代码分析实战——分析恶意pdf文件

喜欢ヅ旅行 2021-07-25 21:29 462阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]

--------------------

QQ 1274510382  
Wechat JNZ\_aming  
商业联盟 QQ群538250800  
技术搞事 QQ群599020441  
解决方案 QQ群152889761  
加入我们 QQ群649347320  
共享学习 QQ群674240731  
纪年科技aming  
网络安全 ,深度学习,嵌入式,机器强化,生物智能,生命科学。

叮叮叮：产品已上线 —>关注 官方-微信公众号——济南纪年信息科技有限公司  
民生项目：商城加盟/娱乐交友/创业商圈/外包兼职开发-项目发布/  
安全项目：态势感知防御系统/内网巡查系统  
云服项目：动态扩容云主机/域名/弹性存储-数据库-云盘/API-AIeverthing  
产品咨询/服务售后（同）

## 纸上得来终觉浅,绝知此事要躬行 ！！！   寻找志同道合伙伴创业中。。。抱团滴滴aming联系方式！! ##

--------------------

#### \#本文为广告系统自动投放广告 ####

#### \# 如有侵权 删改 请速速联系我们 ####

--------------------

本科/专科信息安全专业

计算机网络、操作系统

--------------------

实验目的  
本章的实验我们学习如何分析shellcode。  
本次实验我们将会学习使用PDFStreamDumper, pdfid等工具分析恶意pdf文件，  
期间会进一步分析内嵌其中的JavaScript脚本明确是利用了什么漏洞进行attack。  
为了进一步明确恶意代码的行为，  
我们使用scdbg以及sctest生成调用流图辅助进一步的分析。

--------------------

预备知识  
1.IDA Pro

IDA Pro是一款交互式的，可编程的，可扩展的，多处理器的，  
交叉Windows或Linux WinCE MacOS平台主机来分析程序，

被公认为最好的花钱可以买到的逆向工程利器。  
IDA Pro已经成为事实上的分析敌意代码的标准并让其自身迅速成为攻击研究领域的重要工具。  
它支持数十种CPU指令集其中包括  
Intelx86，x64，MIPS，PowerPC，ARM，Z80，68000，c8051等等。

2.scdbg。

scdbg是一款多平台开源的Shellcode模拟运行、分析工具。  
其基于libemulibrary搭建的虚拟环境，  
通过模拟32位处理器、内存和基本Windows API运行环境来虚拟执行Shellcode以分析其行为。

--------------------

实验环境  
服务器：Windows 7，kali

辅助工具：IDA，PDFStreamDumper，scdbg

--------------------

Q1.这个PDF中使用了什么漏洞?

Q2.这段shellcode是如何编码的?

Q3.这段shellcode导入了哪些函数?

Q4.这段shellcode在文件系统上留下了什么迹象?

Q5.这段shellcode做了什么?

--------------------

分析文件Lab19-03.pdf以及lab19-03\_sc.bin  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]

首先我们切换到kali进行分析  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]

先使用pdfid检查下  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]

注意到有js,javascript，结合题目的问题，那么可能这个pdf文件就是利用JavaScript来进行攻击的  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]

我们进一步在win上使用PDFStremDumper检测，将pdf载入，点击exploit\_scan得到下入所示文档  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]

可以看到利用的是CVE-2008-2992  
![在这里插入图片描述][20210127073517882.png]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 7]

Q1.这个PDF中使用了什么漏洞?

A1. PDF 文件中包含一个CVE-2008-2992漏洞

--------------------

我们选择第9个data stream

可以看到内嵌其中的JavaScript脚本  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 8]

具体分析如下

使用unescape函数和一个字符串来初始化攻击负载  
![在这里插入图片描述][20210127073625163.png]

可以使用脚本进行相应的解码后将其转换为二进制文件

检查应用程序的版本来决定它是否应该尝试漏洞利用  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 9]

执行了堆喷射的操作，  
之后调用util.printf触发漏洞利用，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 10]

可以看到输出一个很大的数字，这是很可疑的。  
这正是为了触发漏洞，因为这里存在不当的边界检查，从而造成缓冲区溢出攻击。

Q2.这段shellcode是如何编码的?

A2.这个文件中的shellcode使用的是  
JavaScript的percent-encoding编码形式，  
也就是百分号编码，  
并且随着JavaScript一起保存在PDF中。

--------------------

实验步骤二  
我们可以先使用sctest生成调用流图

root@kali:~\# sctest -Svs 1000000 -G shell.dot < Lab19-03\_sc.bin > shell  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 11]

root@kali:~\# dot shell.dot -T png -o diagram.png

![在这里插入图片描述][20210127074020672.png]

得到的图片如下所示  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 12]

图中只看到了两个关键的函数

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 13]

分别是GetFileSize和LoadLibrary  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 14]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 15]

接下来使用scdbg进一步查看其导入函数

scdbg -f bin文件 -fopen pdf文件 -i  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 16]

由上图可知调用了CreateFile创建了foo.exe,bar.pdf  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 17]

对应的，之后会调用CrateProcess创建进程，调用ShellExecute打开bar.pdf  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 18]![在这里插入图片描述][20210127074340372.png]

Q3.这段shellcode导入了哪些函数?

A3.如上图所示，导入了很多，这里不一一列举。

--------------------

Q4.这段shellcode在文件系统上留下了什么迹象?

A4. shellcode 在文件系统上创建文件  
%TEMP%\\foo. exe与%TEMP%\\bar.pdf。

--------------------

我们仔细看上面scdbg的回显结果，程序在临时文件夹中写入了foo.exe,bar.pdf，  
此外通过CreateProcessA创建了foo.exe进程，通过ShellExecute打开bar.pdf

我们可以通过IDA来分析bin文件

打开后直接按c键，将其转为代码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 19]

注意到上图中，sub esp,17ch。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 20]

这是因为esp为栈顶指针，栈由高向低增长，这里相当于是抬高了栈帧  
![在这里插入图片描述][20210127074701557.png]

之后call sub\_17b,  
这样call的这一个指令的地址也就是0d会入栈，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 21]

不过这时候我们在上图注意到此时0d开头的这一部分是一些没意义的数据  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 22]

双击跟入sub\_17b

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 23]

pop esi则是把0d的地址赋给了esi

继续往下看

这里需要注意，在000183处调用的sub\_CA，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 24]

实际上就是findkernel32Base，

用于查找系统中的kernel32.dll的地址。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 25]

而0x195位置的是findSymbolByHash函数，用于hash值的计算

在18b处可以看到一共是是对kernel32做了0xe次操作，也就是14次操作  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 26]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 27]

在19d，1a2看到两个push，我们可以将其右键转换如下所示  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 28]

拼接起来可知，程序在19D以及1A2的位置压入了“shell32”这个字符串，作为LoadLibrary函数的参数

继续往下分析

注意，1c6处的call实际上是在调用GetFIleSize，  
![在这里插入图片描述][20210127075527421.png]

给定一个句柄，这个函数会返回句柄对应的文件大小。

在1b6处的xor指令首先将句柄初始化为0，

然后在1bb处每次迭代都加上4.  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 29]

得到的结果会与shellcode嵌入数据区偏移量为0x3c处的值比较，  
![在这里插入图片描述][20210127075737759.png]

这个偏移处应该是有一个给定的值的，不过由于我们现在是静态分析，无法获得。

我们猜测这应该是shellcode在启动漏洞攻击之前，  
先判断当前pdf文件的大小是否和lab19-03.pdf的大小一致。

继续往下分析

这里需要注意，1ef处的call是调用SetFilePointer  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 30]

在1e9处注意到基于嵌入数据区的偏移量为0x40  
![在这里插入图片描述][20210127075723491.png]

这里是通过调用SetFilePointer调整文件指针在恶意pdf中的位置，

基于嵌入数据区的偏移量为0x40处的值，

从恶意pdf中提取出第一个文件的文件偏移量。之后调用sub\_13d来读取文件内容。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 31]

继续往下分析

这里注意，21e处的call实际上是调用GetTempPathA  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 32]

这里shellcode是构造了一个输出文件路径，调用GetTempPathA，然后会追加字符串

追加的内容可以在22f，235处可以看到，这里需要转换成如下所示  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 33]

可以看到追击的字符串的内容为foo.exe  
![在这里插入图片描述][20210127075924820.png]

继续往下分析

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 34]

252处的sub\_EB实际是用于将缓冲区内容写入磁盘，  
注意到在调用它之前有5个连续push，  
说明其有5个参数，

它会使用246处的0x4a与输入缓冲区中的每个字符串异或，  
然后将解密的缓冲区写入到245处的eax中的值  
（也就是说此处eax的内容就是该函数的输出文件名）

结合前一段指令的分析结果，我们知道这里是会写入文件foo.exe

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 35]

注意286处的call实际是调用CreateProcessA，  
这个文件名会被传递给CreateProcessA调用，它负责用刚刚写入磁盘的文件创建一个新进程

继续往下分析

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 36]

这一部分shellcode是在重复相同的过程来提取存储在恶意pdf中的第二个文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 37]

在294处，shellcode根据存储在嵌入数据偏移量0x4c处的文件的大小来分配一个内存空间，  
然后会根据2a6处的偏移量0x48存储的文件偏移量，来调整文件指针的位置  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 38]

继续往下分析

这里shellcode使用与第一个文件相同的临时文件路径，  
但是在2c3,2c9处的表示的文件名换了，我们可以转换后看到如下所示  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 39]

看到是用bar.pdf替换了文件名

2e3处的sub\_EB使用2d7处给出的0x4a来解码文件内容，并将其写入%temp%bar.pdf  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 40]

继续往下分析

这里先把2f0处的数字转换一下

看到是open

注意310处的call是调用ShellExecute  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 41]

这里shellcode调用ShellExecute  
打开它刚刚写入到%temp%bar.pdf中的pdf文件

![在这里插入图片描述][20210127080407509.png]

之后shellcode传入命令字符串open和PDF的路径使得系统可以使用已注册的应用程序打开这个指定的文件

Q5.这段shellcode做了什么?

A5. shellcode 从PDF中提取其中存储的两个编码文件，  
并且将它们写入%TEMP%目录。

同时，它运行foo.exe文件，并打开bar.pdf文档。

配套学习资源  
1.《恶意代码分析实战》

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]: /images/20210725/cc05cf196ff0493d8d33d5c485a73e64.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]: /images/20210725/72b0ec59421448e9ae2b3cba08d128f4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]: /images/20210725/50b086f8793147d694a48a05a313df04.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]: /images/20210725/22c86a0088db443991f4b9b31740a32f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]: /images/20210725/d7f9358be1fb4dfba14d2988683c0035.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]: /images/20210725/f234851bbf4440b7b7c8218e2f23c4dd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]: /images/20210725/5ebb9ea18be84b8c9f50cad1cec7df68.png
[20210127073517882.png]: /images/20210725/9dcda4454bf54031a27fe0161faa1309.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 7]: /images/20210725/168f0ebe27ce458aa66222f39eaffe29.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 8]: /images/20210725/653ca63961d44f3cb7a277b80faf2cd7.png
[20210127073625163.png]: /images/20210725/ac71af7b27954b189a5deee84df21adb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 9]: /images/20210725/91945adf14d646e5ad0eae278ad05305.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 10]: /images/20210725/b26071a2c3bc4b9c8f1120e7ea0f268b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 11]: /images/20210725/54442202c3664ea083d2744ec205a79a.png
[20210127074020672.png]: /images/20210725/97ed19fa86cd4be7858e54e5c1798080.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 12]: /images/20210725/5c86ad74022746a196d30bea61b8e5f4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 13]: /images/20210725/10941b9cf6144e7ab44adef221f767d3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 14]: /images/20210725/e1faa16d1652474c869e1b801724b670.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 15]: /images/20210725/51185186a8fe483bbb1651386d2e19f3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 16]: /images/20210725/06c2a47dbe574eaf9885c2a6d1cdf174.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 17]: /images/20210725/e0d484da46c7407b9ddb17be979d70d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 18]: https://img-blog.csdnimg.cn/20210127074330454.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw,size_16,color_FFFFFF,t_70
[20210127074340372.png]: /images/20210725/ba4edc11041041dfb091e1e9c2061d1a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 19]: /images/20210725/23ded2ae21414d54a14d882e08928a0b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 20]: /images/20210725/1f3abce402d247b788d7ca8821ec4d16.png
[20210127074701557.png]: /images/20210725/572477edb408414b9a9d491be4d07d8d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 21]: /images/20210725/2f2674b614304da6a7a74171b389b9b7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 22]: /images/20210725/7ddf81420554405982760e176f796bc5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 23]: /images/20210725/cf3fb65a2e234991a1e370099c912613.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 24]: /images/20210725/7b86ea568b2648c598d50fa5b48999f7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 25]: /images/20210725/4b0c0c906e484e2498b2bffc7fcc38f9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 26]: /images/20210725/0506a1cf2faf4951b98dcea769621052.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 27]: /images/20210725/bdb8d93961674d0fbc77a5b359b5207d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 28]: /images/20210725/45f89a4001144c4cb2cecaa2fced31a7.png
[20210127075527421.png]: /images/20210725/d13eb36e9fc34e639f43d206eeae14d6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 29]: /images/20210725/1de8bf62515d425d984122f33ca48869.png
[20210127075737759.png]: /images/20210725/5c01209bc3b9459fb17f627b3746fb49.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 30]: /images/20210725/50da0bae46a34785a85df83c83d5c350.png
[20210127075723491.png]: /images/20210725/5646e90563e4453cabdbd760ed2ac028.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 31]: /images/20210725/1645712bd94f461aa1231cb0d48e5641.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 32]: /images/20210725/894240ba2b7b4ee0a1f1a7f571fe2ee9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 33]: /images/20210725/491f631d229245c5970479d910a3ef12.png
[20210127075924820.png]: /images/20210725/fcec22fa15b34a60b8ecf1b47e995b53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 34]: /images/20210725/a824dada23f34d7da72c1f5f1a6be46a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 35]: /images/20210725/90baf955e63b4e96830ffeca093cc029.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 36]: /images/20210725/af65745464604ec6a150cbee096a2b94.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 37]: /images/20210725/c7b7e65509314098bebf5fe3b436524f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 38]: /images/20210725/2e6e1665cce84b71bbb65087b44969d0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 39]: /images/20210725/a4879f9d1f8c45dfa88833e737a20cf3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 40]: /images/20210725/dc1aa0b3be3b4eb0bf38602e2f157d40.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 41]: /images/20210725/428ae7c0fd0e48a6bb021c23634cebe4.png
[20210127080407509.png]: /images/20210725/9c1ba78e4700479585b72d8e612d1b32.png