搜索

[13546] 2018-12-18_浅析无文件攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-18_浅析无文件攻击 浅 析 无 文 件 攻 击 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 1 8 写 在 前 面 的 话 写 在 前 面 的 话 在 信 息 安 全 领 域 中 ， 在 信 息 安 全 领 域 中 ， “ 无 文 件 攻 击 无 文 件 攻 击 ” 属 于 一 种 影 响 力 非 常 大 的 安 全 威 胁 。 攻 击 者 在 利 用 这 种 技 术 实 施 攻 击 时 ， 不 属 于 一 种 影 响 力 非 常 大 的 安 全 威 胁 。 攻 击 者 在 利 用 这 种 技 术 实 施 攻 击 时 ， 不 会 在 目 标 主 机 的 磁 盘 上 写 入 任 何 的 恶 意 文 件 ， 因 此 而 得 名 会 在 目 标 主 机 的 磁 盘 上 写 入 任 何 的 恶 意 文 件 ， 因 此 而 得 名 “ 无 文 件 攻 击 无 文 件 攻 击 ” 。 然 而 ， 为 了 更 好 地 应 对 。 然 而 ， 为 了 更 好 地 应 对 “ 无 文 件 攻 无 文 件 攻 击 击 ” ， 我 们 必 须 深 刻 理 解 这 种 攻 击 方 式 的 底 层 实 现 技 术 ， 这 样 才 能 帮 助 我 们 在 特 定 的 环 境 下 部 署 更 好 的 防 御 策 ， 我 们 必 须 深 刻 理 解 这 种 攻 击 方 式 的 底 层 实 现 技 术 ， 这 样 才 能 帮 助 我 们 在 特 定 的 环 境 下 部 署 更 好 的 防 御 策 略 。 略 。 虽 然 有 的 网 络 系 统 部 署 了 类 似 反 病 毒 产 品 和 应 用 程 序 白 名 单 之 类 的 安 全 控 制 措 施 ， 但 是 无 文 件 攻 击 仍 然 可 以 结 合 多 种 其 他 的 攻 击 策 略 来 入 侵 你 的 网 络 。 接 下 来 ， 我 们 一 起 分 析 一 下 无 文 件 攻 击 所 采 用 的 攻 击 方 法 以 及 策 略 ， 我 们 会 对 无 文 件 攻 击 所 涉 及 到 的 特 定 技 术 进 行 介 绍 ， 并 解 释 为 什 么 这 种 攻 击 方 式 在 大 多 数 情 况 下 不 会 被 安 全 防 御 系 统 发 现 。 技 术 一 ： 恶 意 文 档 技 术 一 ： 恶 意 文 档 其 实 一 开 始 ， 很 多 安 全 研 究 专 家 所 称 之 为 的 “ 无 文 件 攻 击 ” 实 际 上 是 会 涉 及 到 文 档 文 件 的 。 在 这 种 场 景 下 ， 攻 击 者 需 要 使 用 到 恶 意 文 档 （ 例 如 电 子 邮 件 附 件 ） ， 目 的 有 以 下 几 种 ： 1 、   文 档 作 为 携 带 其 他 文 件 的 容 器 ， 灵 活 性 更 好 。 比 如 说 ， 攻 击 者 可 以 在 M i c r o s o f t   O f f i c e 文 档 中 嵌 入 恶 意 J a v a S c r i p t 文 件 ， 喜 欢 社 工 技 术 的 攻 击 者 还 可 以 诱 导 目 标 用 户 双 击 文 件 后 执 行 嵌 入 的 脚 本 等 等 。 其 他 类 型 的 文 档 还 可 以 携 带 P D F 和 R T F 等 类 型 的 文 件 ， 这 种 功 能 属 于 应 用 程 序 的 一 种 特 性 ， 所 以 反 病 毒 技 术 一 般 不 会 干 扰 其 使 用 。 2 、   文 档 还 可 以 携 带 漏 洞 利 用 代 码 或 P a y l o a d 。 如 今 ， 文 档 的 复 杂 程 度 越 来 越 高 ， 因 此 提 供 的 攻 击 面 也 就 越 来 越 广 。 在 这 种 场 景 下 ， 漏 洞 利 用 代 码 可 以 直 接 在 目 标 设 备 的 内 存 中 运 行 绑 定 的 S h e l l c o d e ， 并 给 攻 击 者 提 供 文 件 系 统 的 完 整 读 写 权 限 。 3 、   文 档 还 可 以 执 行 恶 意 攻 击 流 程 并 实 现 初 始 感 染 。 现 代 文 档 提 供 了 强 大 的 脚 本 功 能 支 持 ， 比 如 说 M i c r o s o f t O f f i c e 能 够 执 行 V B A 宏 文 件 ， 这 种 功 能 将 允 许 攻 击 者 在 不 需 要 编 译 恶 意 可 执 行 程 序 的 情 况 下 在 目 标 主 机 上 实 现 恶 意 逻 辑 ， 而 这 种 技 术 利 用 的 就 是 反 病 毒 工 具 无 法 区 分 脚 本 代 码 恶 意 性 的 缺 陷 。 除 此 之 外 ， 脚 本 还 可 以 启 动 程 序 或 下 载 恶 意 代 码 。
只 要 攻 击 者 制 作 的 文 档 存 储 在 了 目 标 系 统 中 ， 攻 击 者 就 已 经 不 需 要 再 通 过 传 统 方 式 （ 在 目 标 主 机 中 运 行 恶 意 可 执 行 文 件 ） 来 进 行 攻 击 了 。 在 很 多 情 况 下 ， 恶 意 文 档 可 以 直 接 在 内 存 中 执 行 恶 意 代 码 ， 从 某 种 角 度 来 看 ， 这 也 算 是 一 种 “ 无 文 件 攻 击 ” 了 。 参 考 资 料 参 考 资 料 【 参 考 资 料 一 】 【 参 考 资 料 二 】 技 术 二 ： 恶 意 脚 本 技 术 二 ： 恶 意 脚 本 为 了 不 将 恶 意 代 码 编 译 成 传 统 的 可 执 行 文 件 ， 攻 击 者 会 在 攻 击 过 程 中 使 用 具 有 “ 无 文 件 ” 性 质 的 “ 脚 本 文 件 ” 。 除 了 文 档 支 持 脚 本 之 外 ， 像 上 面 提 到 的 M i c r o s o f t   O f f i c e 产 品 同 样 支 持 脚 本 功 能 ， 这 就 给 攻 击 者 提 供 了 以 下 几 个 优 势 ： 1 、   他 们 可 以 在 不 受 某 些 应 用 程 序 限 制 的 情 况 下 与 操 作 系 统 进 行 交 互 。 2 、   和 恶 意 可 执 行 程 序 想 必 ， 脚 本 可 以 增 强 反 恶 意 软 件 产 品 检 测 和 控 制 的 难 度 。 3 、   脚 本 可 以 更 加 方 便 攻 击 者 将 攻 击 逻 辑 分 散 到 多 个 攻 击 步 骤 中 实 现 ， 以 躲 避 某 些 基 于 行 为 分 析 的 安 全 检 测 机 制 。 4 、   可 以 通 过 代 码 混 淆 来 增 加 安 全 分 析 的 难 度 ， 并 绕 过 反 病 毒 技 术 。
M i c r o s o f t W i n d o w s 提 供 了 针 对 P o w e r S h e l l 、 V B S c r i p t 、 B a t c h 和 J a v a S c r i p t 等 脚 本 的 支 持 ， 这 些 脚 本 可 以 直 接 在 p o w e r s h e l l . e x e 、 c s c r i p t . e x e 、 c m d . e x e 和 m s h t a . e x e 中 运 行 。 除 此 之 外 ， 攻 击 者 还 可 以 使 用 开 源 框 架 来 对 脚 本 代 码 进 行 混 淆 处 理 。 参 考 资 料 参 考 资 料 【 参 考 资 料 一 】 【 参 考 资 料 二 】 【 参 考 资 料 三 】 【   参 考 资 料 四 】 【 参 考 资 料 五 】 技 术 三 ： 无 需 任 何 依 赖 组 件 技 术 三 ： 无 需 任 何 依 赖 组 件 每 次 谈 到 无 文 件 攻 击 ， 或 多 或 少 都 会 涉 及 到 滥 用 M i c r o s o f t   W i n d o w s 实 用 工 具 的 情 况 。 这 些 工 具 允 许 攻 击 者 在 不 需 要 编 译 恶 意 可 执 行 文 件 的 情 况 下 实 现 攻 击 步 骤 的 推 进 。 只 要 攻 击 者 的 恶 意 代 码 能 够 与 目 标 主 机 的 本 地 程 序 交 互 ， 他 们 就 可 以 利 用 操 作 系 统 的 内 置 工 具 来 下 载 额 外 的 恶 意 组 件 ， 启 动 脚 本 、 窃 取 数 据 、 实 现 横 向 渗 透 以 及 实 现 持 续 感 染 。 这 些 工 具 包 括 但 不 仅 限 于 r e g s v r 3 2 . e x e 、 r u n d l l 3 2 . e x e 、 c e r t u t i l . e x e 和 s c h t a s k . e x e 等 等 。 值 得 注 意 的 是 ， 在 操 作 系 统 的 内 置 工 具 中 ， W M I 则 是 重 灾 区 ， W M I 内 置 于 操 作 系 统 中 ， 并 允 许 攻 击 者 通 过 w m i c . e x e 并 配 合 P o w e r S h e l l 脚 本 直 接 跟 终 端 进 行 交 互 。 参 考 资 料 参 考 资 料 【 参 考 资 料 一 】 【 参 考 资 料 二 】 【   参 考 资 料 三 】 技 术 四 ： 内 存 中 的 恶 意 代 码 技 术 四 ： 内 存 中 的 恶 意 代 码 毫 无 疑 问 ， 扫 描 磁 盘 文 件 肯 定 是 反 病 毒 产 品 必 备 的 “ 技 能 ” 了 ， 但 是 检 测 内 存 中 的 恶 意 代 码 可 就 不 一 定 了 。 内 存 是 动 态 变 化 的 ， 这 也 给 恶 意 软 件 提 供 了 可 乘 之 机 。 内 存 渗 透 技 术 允 许 攻 击 者 绕 过 大 多 数 反 病 毒 控 制 策 略 ， 包 括 应 用 程 序 白 名 单 。 虽 然 反 病 毒 工 具 会 尝 试 捕 捉 内 存 注 入 行 为 ， 但 是 攻 击 者 的 持 续 感 染 能 力 仍 然 会 限 制 反 病 毒 工 具 的 效 果 。 参 考 资 料 参 考 资 料 【 参 考 资 料 一 】 【 参 考 资 料 二 】 【 参 考 资 料 三 】 【   参 考 资 料 四 】
总 结 总 结 无 文 件 攻 击 的 实 现 得 益 于 某 些 应 用 程 序 和 操 作 系 统 所 特 有 的 性 质 ， 它 利 用 了 反 恶 意 软 件 工 具 在 检 测 和 防 御 方 面 的 缺 陷 。 虽 然 在 现 代 网 络 攻 击 活 动 中 ， 无 文 件 攻 击 只 是 其 中 的 一 种 攻 击 技 术 ， 但 很 多 恶 意 软 件 一 般 都 会 引 入 一 些 “ 无 文 件 攻 击 ” 技 术 来 尝 试 躲 避 安 全 产 品 的 检 测 。 对 于 攻 击 者 来 说 ， 与 其 去 思 考 某 种 技 术 是 否 无 懈 可 击 ， 还 不 如 思 考 怎 么 样 使 用 这 些 技 术 才 能 绕 过 企 业 的 防 御 策 略 ， 这 样 效 率 还 会 更 高 。 * 参 考 来 源 ： m i n e r v a - l a b s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理