搜索

[11555] 2017-07-17_从javascript脚本混淆说起

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-07-17_从javascript脚本混淆说起 从 j a v a s c r i p t 脚 本 混 淆 说 起 渔 村 安 全   F r e e B u f   2 0 1 7 - 0 7 - 1 7 *   本 文 作 者 ： 渔 村 安 全 ， 本 文 属 本 文 作 者 ： 渔 村 安 全 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 脚 本 病 毒 是 一 个 一 直 以 来 就 存 在 ， 且 长 期 活 跃 着 的 一 种 与 脚 本 病 毒 是 一 个 一 直 以 来 就 存 在 ， 且 长 期 活 跃 着 的 一 种 与 P E 病 毒 完 全 不 同 的 一 类 病 毒 类 型 ， 其 制 作 的 门 槛 低 、 病 毒 完 全 不 同 的 一 类 病 毒 类 型 ， 其 制 作 的 门 槛 低 、 混 淆 加 密 方 式 的 千 变 万 化 ， 容 易 传 播 、 容 易 躲 避 检 测 ， 不 为 广 大 网 民 熟 知 等 诸 多 特 性 ， 都 深 深 吸 引 着 各 色 各 样 混 淆 加 密 方 式 的 千 变 万 化 ， 容 易 传 播 、 容 易 躲 避 检 测 ， 不 为 广 大 网 民 熟 知 等 诸 多 特 性 ， 都 深 深 吸 引 着 各 色 各 样 的 恶 意 软 件 制 作 者 的 恶 意 软 件 制 作 者   … 小 到 一 个 不 起 眼 的 l n k 快 捷 方 式 ， 大 到 一 个 w o r d 文 档 ， 都 是 脚 本 的 载 体 。 本 文 主 要 以   j s 脚 本 为 例 ( 特 指 J S c r i p t ， 下 同   ) ， 具 体 结 合 实 际 样 本 ， 讲 述 混 淆 方 式 及 其 混 淆 类 型 检 测 相 关 知 识 ， 文 章 受 限 于 样 本 个 数 及 其 种 类 ， 存 在 一 定 的 局 限 性 ， 但 大 致 情 况 应 当 不 会 相 差 太 大 。 本 系 列 首 先 会 对 j s c r i p t 及 其 脚 本 进 行 简 单 介 绍 ， 之 后 对 采 用 不 同 混 淆 操 作 的 样 本 进 行 分 析 以 及 总 结 ， 后 续 系 列 会 引 入 脚 本 动 态 鉴 定 技 术 即   虚 拟 执 行 行 为 检 测 技 术 的 介 绍 与 实 现 。 前 言 前 言 j s c r i p t 是 由 微 软 公 司 开 发 的 脚 本 语 言 ， 是 对 E C M A S c r i p t 语 法 规 范 的 实 现 ， 最 初 是 随 着   I E   3 . 0 于 1 9 9 6 年 8 月 发 布 ， 和 其 所 开 发 的 其 他 脚 本 语 言 一 样 ， 后 来 被   W i n d o w s   S c r i p t H o s t ( W S H ) 和 A c t i v e   S e r v e r   P a g e s 所 支 持 ， 其 典 型 的 扩 展 名 称 为 . j s   。 W i n d o w s 上 的 . j s 文 件 运 行 是 这 样 的 (   实 际 后 缀 还 有 可 能 是 . j s e , . w s f ,   . w s h ) ， 在 你 双 击 这 类 文 件 时 ， 通 常 的 操 作 是 由 代 理 程 序 传 给 宿 主 进 程 作 为 参 数 运 行 ， 这 个 宿 主 进 程 也 通 常 为   w s c r i p t . e x e 或 者 c s c r i p t . e x e ( 实 际 根 据 注 册 表 中 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r F i l e E x t s . j s O p e n W i t h L i s t 中 给 定 的 值 ) 。   w s c r i p t 与 c s c r i p t 的 区 别 就 在 于 前 者 是 在 窗 口 中 运 行 ， 后 者 是 在 命 令 行 中 运 行 。 那 么 是 不 是 所 有 j s   的 脚 本 必 须 要 有 后 缀 ？ 当 然 不 是 ， 你 可 以 使 用 w s c r i p t   / / e : j s c r i p t   文 件 名 称 的 形 式 执 行 。 是 不 是 还 要 问   j s c r i p t 和 j a v a s c r i p t 是 不 是 同 一 个 ？ 当 然 不 是 !   但 他 们 确 实 属 于 同 一 类 语 言 ， 因 为 都 是 对 E C M A S c r i p t 语 法 规 范 的 不 同 实 现 版 本 ， 大 体 语 法 都 一 样 ， 但 各 自 的 实 现 却 也 存 在 着 很 多 差 异 ， 具 体 差 异 可 在 网 上 查 阅 资 料 进 行 了 解 。 正 文 正 文 j s c r i p t 不 知 是 什 么 时 候 被 微 软 开 始 边 缘 化 的 技 术 产 品 ( 或 许 是 j a v a s c r i p t   太 强 了 ) ， 随 着 老 一 批 的 微 软 开 发 者 的 淡 出 ， j s c r i p t 也 离 开 了 人 们 的 视 线 。 但 也 可 能 正 是 如 此 ， 它 获 得 了 恶 意 软 件 编 写 者 的 青 睐 。 什 么 是 混 淆 什 么 是 混 淆 混 淆 : 指 迷 惑 ， 将 一 样 东 西 误 认 为 另 一 样 东 西 ( 本 解 释 来 自 百 度 百 科   ) 。 由 于 脚 本 语 言 绝 大 多 数 是 基 于 解 释 器 的 运 行 方 式 ， 所 以 其 在 进 入 解 释 器 之 前 多 为 源 代 码 形 式 存 在 ， 通 过 源 代 码 可 以 清 楚 知 道 脚 本 的 意 图 ， 所 以 为 了 对 抗 分 析 ， 采 用 了 各 种 方 式 将 源 代 码 进 行   混 淆 操 作 ( 当 然 也 可 能 是 正 常 功 能 的 脚 本 不 想 被 轻 易 看 穿 的 不 得 已 之 为 ) 。 通 过 金 山 毒 霸 安 全 实 验 室 对 全 球 非   P E 样 本 的 监 控 数 据 来 看 ， 目 前 对 j s c r i p t 脚 本 的 混 淆 方 式 变 化 如 下 :
下 面 通 过 不 同 混 淆 操 作 的 特 点 ， 结 合 实 际 样 本 案 例 进 行 分 析 总 结 ， 最 后 给 出 针 对 不 同 混 淆 方 式 的 检 测 思 路 。 脚 本 混 淆 脚 本 混 淆 脚 本 混 淆 的 方 式 比 较 繁 多 ， 常 采 用 编 码 、 加 密 、   变 形 ， 切 分 等 操 作 进 行 编 码 :   将 信 息 从 一 种 形 式 或 格 式 转 换 为 另 一 种 形 式 的 过 程 加 密 :   通 过 某 种 特 殊 算 法 ， 改 变 信 息 的 原 有 结 构 变 形 :   改 变 原 来 形 态 的 过 程 切 分 :   通 常 为 拆 分 操 作 上 述 操 作 是 常 见 混 淆 的 采 用 的 技 术 操 作 ， 但 实 际 上 ， 对 这 些 操 作 运 用 的 载 体 ， 通 常 是 变 量   ， 字 符 串 ， 函 数 ( 或 方 法 ， 统 称 函 数 ) 、 数 组 、 对 象 ，   e v a l 等 。 下 文 针 对 这 些 不 同 的 载 体 ， 具 体 结 合 样 本 进 行 分 析 讨 论 。 1 .   变 量 的 混 淆 变 量 的 混 淆 变 量 混 淆 ， 通 常 针 对 变 量 的 名 称 、 个 数 进 行 操 作 ， 目 的 是 去 掉 变 量 名 称 的 词 义 。 这 种 操 作 的 极 端 情 况 有 个 数 极 少 、 个 数 极 多 、 名 称 长 度 普 遍 较 短 ( < 6 ) 、 名 称 长 度 普 遍 较 长 ( > 4 1 )   、 随 机 名 称 等 特 性 。 通 常 ， 单 一 的 针 对 变 量 的 混 淆 都 是 配 合 其 他 形 式 同 时 出 现 的 ， 例 如 : 这 个 脚 本 的 特 点 很 明 显 ， 就 是 变 量 名 称 都 是 e 构 成 的 ， 而 且 超 级 多 ， 其 后 续 执 行 的 代 码 如 下 :
具 体 含 义 就 是 根 据 变 量 名 称 中 e 的 长 度 从 低 到 高 的 顺 序 ， 通 过 t h i s   访 问 当 前 环 境 变 量 ， 之 后 拼 接 完 整 代 码 块 ， 使 用 e v a l 进 行 动 态 执 行 。 通 过 这 个 规 律 可 轻 易 写 出 代 码 还 原 工 具 ( 但 可 能 适 用 的 范 围 很 小   ) 。 针 对 变 量 的 混 淆 检 测 ， 主 要 从 变 量 的 个 数   、 名 称 长 度 分 布 及 名 称 字 符 串 特 征 这 三 个 维 度 去 检 测 。 上 述 例 子 中 ， 很 明 显 的 发 现 ， 这 里 对 代 码 进 行 了   变 形 ， 代 码 块 切 分 技 术 。 2 .   字 符 串 操 作 的 混 淆 字 符 串 操 作 的 混 淆 字 符 串 ， 很 大 程 度 上 能 够 帮 助 代 码 阅 读 人 员 快 速 定 位 关 键 代 码 段 ， 从 而 加 快 分 析 。 当 然 ， 恶 意 脚 本 也 会 更 加 注 意 对 字 符 串 的 保 护   。 对 字 符 串 的 常 见 混 淆 操 作 有 加 密 、 编 码 、 替 换 等 操 作 。 常 见 的 针 对 字 符 串 的 操 作 函 数 有 s u b s t r 、 s u b s t r i n g 、   u n e s c a p e 、 f r o m c h a r c o d e 、 r e p l a c e   、 s p l i t 以 及 正 则 表 达 式 等 操 作 。 如 下 代 码 片 段 就 是 使 用 了 字 符 串 解 密 函 数   e x q 在 运 行 时 对 字 符 串 进 行 了 解 密 。 当 然 ， 也 有 如 下 这 种 通 过 字 符 串 常 用 操 作 进 行 字 符 串 解 密 的 实 际 运 行 后 b 的 值 是 还 有 比 较 常 见 的 编 码 方 式 的
通 过 收 集 到 的 样 本 来 看 ， 其 中 使 用 正 则 表 达 式 的 样 本 也 是 比 较 多 的 ， 限 于 篇 幅 长 度 ， 这 里 就 不 一 一 列 举 了 。 针 对 字 符 串 混 淆 ， 大 多 数 都 会 有 字 符 串 操 作 函 数 ( 或 正 则 对 象   ) 的 使 用 ， 通 过 对 这 些 函 数 ( 对 象 ) 的 追 踪 ， 统 计 其 出 现 的 次 数 ， 能 从 一 方 面 说 明 这 类 混 淆 的 特 性 ， 当 然 如 果 不 对 语 法 进 行 深 层 次 的 分 析 ， 很 容 易 将   循 环 中 的 操 作 个 数 统 计 为 一 次 ， 而 实 际 可 能 执 行 了 好 多 次 操 作 。 3 .   函 数 、 数 组 、 对 象 的 混 淆 函 数 、 数 组 、 对 象 的 混 淆 正 常 脚 本 中 函 数 、 数 组 、 对 象 的 个 数 都 是 有 一 个 上 限 的 ， 但 混 淆 后 的 脚 本 往 往 会 超 过 这 个 上 限 ， 从 而 变 的 异 常 。 例 如 : 一 个 脚 本 中 出 现 了 1 0 0 0 次 函 数 声 明 以 及 函 数 表 达 式 操 作 ， 一 个 数 组 的 索 引 超 过 了   1 0 0 0 0 ， 以 及 一 个 对 象 中 都 是 n u m b e r : s t r i n g 。 针 对 数 组 的 混 淆 ， 看 这 个 例 子 ， 其 中 B O q l 这 个 数 组 ， 最 大 索 引 竟 然 达 到 1 9 0 2 7 ， 人 工 编 写 的 代 码 一 般 来 说 是 不 能 达 到 如 此 程 度 的 ， 所 以 极 有 可 能 是 通 过 代 码 生 成 的 。 实 际 运 行 后   e v a l 传 入 的 U T f 代 码 片 段 如 下 :
当 然 ， 对 函 数 的 混 淆 也 是 比 较 多 的 ， 比 如 直 接 作 为 数 组 中 的 元 素 或 是 返 回 对 象 中 的 某 个 元 素
总 体 来 讲 ， 函 数 的 混 淆 通 常 结 合 对 象 与 数 组 同 时 进 行 。 对 于 对 象 来 说 ， 比 较 意 外 ， 这 种 混 淆 通 常 是 针 对 n u m b e r ， s t r i n g 进 行 ， 很 少 发 现 里 面 有 函 数 的 出 现 ， 比 如 下 面 这 个 同 函 数 一 样 ， 对 象 的 混 淆 大 多 数 也 是 与 数 组 一 同 出 现 的 ， 核 心 原 理 是 代 码 切 分 ， 这 类 混 淆 后 的 代 码 很 明 显 的 体 现 了 这 个 概 念   ， 尽 可 能 多 的 减 少 信 息 聚 合 ， 当 然 这 也 构 成 了 这 类 混 淆 的 检 测 特 征 索 引 过 多 但 实 际 内 容 很 少 。 4 .   e v a l * * 的 混 淆 * * e v a l 函 数 可 以 动 态 执 行 一 段 代 码 ， 基 于 这 个 特 性 ， 可 以 说 ， 很 受 恶 意 脚 本 的 喜 爱 。 常 常 是 拼 接 代 码 段   +   e v a l 的 方 式 执 行 完 整 脚 本 ， 也 会 被 用 来 执 行 某 一 段 代 码 。 比 较 典 型 的   p a c k e d 混 淆 属 于 第 一 种 情 况 ， 如 下 ：
实 际 执 行 的 代 码 在 p 变 量 中 。 也 有 执 行 某 一 段 代 码 的 e v a l 的 这 类 混 淆 ， 并 不 能 作 为 一 种 独 立 特 征 来 评 判 某 脚 本 是 否 被 混 淆 ， 通 常 是 作 为 一 种 辅 助 特 征 而 存 在 。 5 .   其 他 类 型 混 淆 其 他 类 型 混 淆 上 文 讲 了 4 种 常 见 混 淆 方 式 ， 当 然 ， 很 多 特 殊 脚 本 ， 会 使 用 一 些 其 他 技 巧 绕 过 检 测 ， 例 如 : 直 接 使 用   e v a l 可 能 会 被 检 测 ， 那 么 转 而 使 用 t h i s [ e   +   v a l   ] 也 是 能 达 到 相 同 特 点 的 ， 这 是 t h i s 的 一 种 特 性 ， 能 访 问 当 前 环 境 的 全 部 变 量 。 或 者 ， 如 下 代 码 可 能 会 被 检 测 到 存 在 风 险 但 通 过 如 下 混 淆 是 不 是 很 难 被 检 测 到 了 ？ 当 然 ， 没 有 绝 对 检 测 不 到 的 混 淆 ， 但 是 一 定 程 度 上 ， 这 种 已 经 不 能 轻 易 从 静 态 ( 代 码 执 行 之 前 ) 特 征 上 进 行 判 定 ， 关 于 这 些 的 检 测 判 定 会 在 本 系 列 的 第 二 篇 中 进 行 介 绍 。 环 境 检 测 环 境 检 测 一 个 脚 本 的 行 为 特 性 ， 有 时 会 受 到 当 前 运 行 环 境 影 响 ， 比 如 说 ， 去 下 载 一 个 文 件 ， 但 链 接 文 件 不 存 在 ， 通 常 做 法 是 直 接 提 示 然 后 结 束 ， 又 或 者 说 ， 去 创 建 一 个 文 件 ， 之 后 去 判 断 是 否 创 建 成 功 ， 成 功 之 后 做 剩 余 操 作 ， 失 败 则 直 接 提 示 后 结 束 。 所 以 总 体 来 讲 ， 脚 本 的 行 为 会 受 到 环 境 的 影 响 。 所 以 ， 恶 意 软 件 也 会 去 尝 试 进 行 环 境 判 断 ， 从 而 判 定 当 前 的 环 境 是 否 正 常 ， 例 如 是 否 允 许 在 查 杀 引 擎   中 ， 下 面 列 出 了 几 种 常 见 的 对 抗 检 测 技 术 。 1 .   时 间 检 测 时 间 检 测 v a r   s h   =   W S c r i p t . C r e a t e O b j e c t ( " w s c r i p t . s h e l l "   ) s h . r u n ( ' c m d ' ) v a r   o   =   t h i s [ ' e '   +   ' v a l ' ] (   ' t h ' + ' i s ' ) v a r   s h   =   o [ ' W S ' +   ' c r i p t ' ] [ ' C r e a t e '   +   ' O b '   +   ' j e c t ' ] ( " w s c "   +   " r i p t "   +   " . "   +   " s h E L l "   ) s h [ ' R ' + ' u n '   ] ( ' C '   +   ' m '   +   ' d '   )
在 一 般 情 况 下 ， 查 杀 引 擎 对 一 个 脚 本 的 扫 描 时 长 都 会 限 定 在 一 个 范 围 之 内 ， 沙 盒 也 是 如 此 。 恶 意 脚 本 会 通 过 延 迟 执 行 的 方 式 ， 从 使 检 测 程 序 超 时 退 出 ， 达 到 对 抗 的 效 果 ， 例 如 : 这 段 代 码 出 现 在 脚 本 的 最 前 端 ， 保 证 在 延 迟 大 于 6 s 后 继 续 运 行 。 2 .   执 行 结 果 检 测 执 行 结 果 检 测 现 在 对 严 重 混 淆 脚 本 的 检 测 大 多 是 基 于 虚 拟 执 行 技 术 ( 详 见 本 系 列 的 第 二 篇   ) ， 由 于 引 擎 自 身 对 实 际 环 境 的 虚 拟 程 度 有 限 ， 往 往 存 在 某 些 对 象 、 函 数 的 模 拟 不 到 位 ， 导 致 在 恶 意 脚 本 执 行 时 触 发 异 常 ( 或 直 接 崩 溃 )   ， 从 而 发 生 流 程 转 移 ， 例 如 : 实 际 x u z y d f e j 9 函 数 执 行 的 代 码 如 下 : v a r   l u z p a l 9   =   W S c r i p t . C r e a t e O b j e c t ( ‘ W S c r i p t . S h e l l ’ ) ; v a r   p n i w i n o s u 8   =   l u z p a l 9 . C r e a t e S h o r t c u t ( ‘ q v e r t y d . l n k ’ ) ; i f ( p n i w i n o s u 8 . T a r g e t P a t h   = =   ‘ ’ )   r e t u r n   1 ; 通 过 探 测 是 否 成 功 创 建 l n k 文 件 来 判 断 是 否 处 于 真 实 环 境 ， 与 这 种 类 似 ， 还 有 一 些 是 通 过 设 置 时 间 来 进 行 探 测 ， 总 之 这 类 统 称 为 执 行 结 果 检 测 。 3 .   其 他 其 他 / @ c c _ o n   @ / 形 式 的 条 件 编 译 ， 只 有 支 持 j s c r i p t 语 法 的 宿 主 中 才 会 执 行 ， 所 以 如 果 某   虚 拟 执 行 引 擎 不 支 持 这 类 语 法 规 则 的 话 ， 则 会 直 接 以 / * * / 注 释 的 形 式 跳 过 这 段 代 码 ， 从 而 对 脚 本 实 际 行 为 出 现 错 觉   。
最 后 最 后 本 文 是 < 从 j s c r i p t 脚 本 混 淆 说 起   > 的 系 列 文 章 第 一 篇 ， 主 要 目 的 是 以 科 普 为 主 ， 简 单 介 绍 j s c r i p t 的 背 景 、 常 见 混 淆 方 式 以 及 环 境 检 测 相 关 的 内 容 。 通 过 这 些 的 介 绍 ， 希 望 能 让 大 家 对 j s c r i p t   恶 意 脚 本 ， 非 P E 病 毒 目 前 的 发 展 趋 势 有 一 个 初 步 了 解 ， 本 系 列 的 后 续 文 章 将 继 续 深 入 探 讨 通 过 虚 拟 执 行 技 术 来 检 测 恶 意 脚 本 。 最 后 ， 感 谢 阅 读 本 文 。 *   本 文 作 者 ： 渔 村 安 全 ， 本 文 属 本 文 作 者 ： 渔 村 安 全 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理