搜索

[14586] 2019-09-14_远程进程Shellcode注入调试技巧

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-09-14_远程进程Shellcode注入调试技巧 远 程 进 程 S h e l l c o d e 注 入 调 试 技 巧 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 9 - 1 4 在 病 毒 分 析 的 过 程 中 ， 时 常 会 遇 到 很 多 病 毒 为 了 躲 避 杀 软 的 检 测 ， 使 用 进 程 注 入 的 方 式 ， 将 在 病 毒 分 析 的 过 程 中 ， 时 常 会 遇 到 很 多 病 毒 为 了 躲 避 杀 软 的 检 测 ， 使 用 进 程 注 入 的 方 式 ， 将 s h e l l c o d e 注 入 到 系 统 进 程 中 执 行 ， 本 文 将 介 绍 一 些 在 遇 到 注 入 到 系 统 进 程 中 执 行 ， 本 文 将 介 绍 一 些 在 遇 到 s h e l l c o d e 注 入 进 程 时 所 使 用 的 调 注 入 进 程 时 所 使 用 的 调 试 技 巧 。 试 技 巧 。   情 形 一 ： 情 形 一 ： P E 进 程 远 程 注 入 进 程 远 程 注 入 s h e l l c o d e 到 其 它 进 程 到 其 它 进 程 P E 类 文 件 在 进 行 进 程 注 入 的 时 候 ， 可 能 会 注 入 一 个 P E 文 件 ， 也 有 可 能 是 注 入 一 段 s h e l l c o d e ， 但 注 入 的 流 程 通 常 是 一 样 的 。 注 入 已 有 进 程 : O p e n P r o c e s s   — >   W r i t e P r o c e s s M e m o r y   — >   C r e a t e R e m o t e T h r e a d ； 创 建 进 程 注 入 : C r e a t e P r o c e s s   — >   W r i t e P r o c e s s M e m o r y   — >   G e t T h r e a d C o n t e x t   — >   S e t T h r e a d C o n t e x t   — >   R e s u m e T h r e a d ； 上 面 一 种 是 注 入 已 有 进 程 ， 下 面 一 种 是 自 己 创 建 一 个 进 程 进 行 注 入 ， 不 过 需 要 关 注 的 点 是 一 样 的 ， 就 是 远 程 线 程 启 动 时 的 c o n t e x t （ 上 下 文 ） 。 如 果 是 遇 到 C r e a t e R e m o t e T h r e a d 的 情 况 ， 就 比 较 直 观 ， 只 要 直 接 找 到 该 函 数 的 第 四 个 参 数 l p S t a r t A d d r e s s ， 就 是 我 们 要 找 的 c o n t e x t 值 ， 下 图 是 一 个 示 例 ： 如 果 是 遇 到 R e s u m e T h r e a d 情 形 ， 就 稍 稍 麻 烦 一 些 ， 需 要 先 查 看 G e t T h r e a d C o n t e x t 的 第 二 个 参 数 l p C o n t e x t ， 获 取 到 的 进 程 上 下 文 会 放 在 该 指 针 结 构 中 ， 然 后 代 码 对 其 中 的 地 址 值 进 行 修 改 ， 再 调 用 S e t T h r e a d C o n t e x t ： 找 到 上 下 文 地 址 后 ， 只 需 要 断 在 C r e a t e R e m o t e T h r e a d 或 R e s u m e T h r e a d 函 数 上 ， 使 用 W i n H e x 打 开 程 序 要 注 入 的 进 程 ， 将 该 上 下 文 地 址 处 的 代 码 修 改 为 J M P 到 当 前 地 址 （ 或 0 x C C ， 此 处 可 以 发 散 一 下 ， 只 要 是 能 够 想 办 法 断 下 来 即 可 ） ， 再 单 步 步 过 （ F 8 ） C r e a t e R e m o t e T h r e a d / R e s u m e T h r e a d ， 使 用 O D 附 加 到 注 入 的 进 程 ， 断 在 上 下 文 地 址 处 ， 再 将 代 码 修 改 回 原 来 的 代 码 即 可 继 续 执 行 。 情 形 二 ： 脚 本 病 毒 情 形 二 ： 脚 本 病 毒 / 宏 病 毒 远 程 注 入 宏 病 毒 远 程 注 入 s h e l l c o d e 到 其 它 进 程 到 其 它 进 程 脚 本 病 毒 / 宏 病 毒 注 入 s h e l l c o d e 时 所 使 用 的 函 数 与 P E 类 略 有 不 同 ， 下 面 以 一 个 宏 病 毒 的 分 析 过 程 为 例 来 进 行 说 明 。 调 试 宏 代 码 ， 该 样 本 的 宏 代 码 没 有 经 过 混 淆 ， 可 以 清 晰 的 看 到 其 将 s h e l l c o d e 硬 编 码 赋 值 给 一 个 数 组 ， 这 里 的 数 据 长 这 样 ： 需 要 把 它 转 化 成 C + + 能 够 认 识 的 类 型 ， 不 过 别 着 急 ， 先 继 续 往 下 看 ， 代 码 创 建 了 一 个 r u n d l l 3 2 . e x e 进 程 并 挂 起 ， 然 后 申 请 一 块 s h e l l c o d e 长 度 大 小 内 存 ， 依 次 将 数 据 写 入 进 程 内 存 ， 最 后 启 动 进 程 ：
这 里 需 要 关 注 的 函 数 是 最 后 用 来 启 动 进 程 的 C r e a t e S t u f f ， 这 个 函 数 是 前 面 代 码 自 定 义 的 函 数 ， 对 应 是 C r e a t e R e m o t e T h r e a d ： 再 看 函 数 参 数 ： p I n f o . h P r o c e s s 是 进 程 句 柄 ， r w x p a g e 是 启 动 进 程 需 要 给 出 执 行 的 上 下 文 ， 于 是 在 这 一 条 语 句 下 个 断 点 ， p r i n t 一 下 r w x p a g e 参 数 的 值 ： 5 8 9 8 2 4 ， 转 换 成 十 六 进 制 为 0 x 9 0 0 0 0 ， 应 该 就 是 要 找 的 上 下 文 地 址 ， 接 下 来 就 是 到 进 程 内 存 中 去 找 到 这 一 段 数 据 了 ， 使 用 W i n H e x 打 开 对 应 进 程 的 内 存 ， 找 到 0 x 9 0 0 0 0 这 个 地 址 ： 可 以 看 到 这 一 段 数 据 中 有 明 文 显 示 的 可 疑 字 符 串 了 ， 看 起 来 像 是 网 络 连 接 相 关 的 ， 到 这 一 步 就 要 想 办 法 来 调 试 这 段 s h e l l c o d e ， 这 里 有 两 种 调 试 的 思 路 。 思 路 一 ： 思 路 一 ： 像 调 试 P E 类 注 入 那 样 ， 把 执 行 上 下 文 地 址 处 的 代 码 修 改 为 0 x C C 或 j m p 当 前 地 址 的 代 码 ： 如 果 修 改 为 0 x C C ， 需 要 注 意 ， 应 该 把 调 试 器 的 实 时 调 试 设 置 选 成 “ 附 加 前 无 需 确 认 ” ， 这 样 进 程 启 动 后 才 会 自 动 附 加 到 O D 进 行 调 试 （ 记 得 将 内 存 修 改 回 原 值 ， 如 果 没 有 自 动 附 加 ， 就 手 动 附 加 一 下 进 程 ） ： 如 果 修 改 成 j m p 当 前 地 址 ， 那 么 需 要 手 动 打 开 O D ， 选 择 要 附 加 的 进 程 ， 然 后 跳 转 到 执 行 上 下 文 的 地 址 下 断 点 ， 断 下 来 后 把 内 存 地 址 修 改 为 原 值 ， 再 继 续 调 试 ： P r i v a t e   D e c l a r e   F u n c t i o n   C r e a t e S t u f f   L i b   " k e r n e l 3 2 "   A l i a s   " C r e a t e R e m o t e T h r e a d "   ( B y V a l   h P r o c e s s   A s   L o n g ,   B y V a l   l p T h r e a d A t t r i b u t e s   A s   L o n g ,   B y V a l   d w S t a c k S i z e   A s   L o n g ,   B y V a l   l p S t a r t A d d r e s s   C r e a t e S t u f f ( p I n f o . h P r o c e s s ,   0 ,   0 ,   r w x p a g e ,   0 ,   0 ,   0 )
思 路 二 ： 思 路 二 ： 在 W i n H e x 中 找 到 这 段 s h e l l c o d e 后 ， 将 其 选 中 ， 右 键 - > E d i t - > C o p y   B l o c k - > C   S o u r c e ， 这 样 就 能 将 数 据 拷 贝 成 C + + 能 够 识 别 的 形 式 ： 然 后 用 V i s u a l   s t u d i o 新 建 一 个 C + + 控 制 台 应 用 项 目 ， 定 义 一 个 数 组 ， 内 容 为 我 们 拷 贝 的 C   S o u r c e 数 据 ： 然 后 在 m a i n 函 数 中 定 义 函 数 指 针 指 向 s h e l l c o d e 的 首 地 址 ， 然 后 调 用 这 个 s h e l l c o d e 首 地 址 的 这 个 函 数 ， 读 起 来 很 绕 ， 但 实 际 上 一 条 指 令 就 能 够 完 成 ： 当 然 ， 这 里 的 写 法 并 不 局 限 于 一 种 ， 只 要 理 解 其 中 的 原 理 即 可 。 随 后 生 成 R e l e a s e 版 的 E X E 文 件 ， 就 能 够 使 用 O D 或 I D A 对 s h e l l c o d e 进 行 分 析 了 ， 用 I D A 加 载 出 来 的 M a i n 函 数 如 下 ： 本 文 使 用 了 几 个 示 例 ， 讲 解 了 在 恶 意 代 码 分 析 过 程 中 遇 到 远 程 进 程 注 入 时 的 一 些 调 试 方 法 ， 虽 然 调 试 技 巧 有 很 多 种 ， 但 万 变 不 离 其 宗 ， 在 调 试 过 程 中 可 以 根 据 自 己 的 需 要 选 择 不 同 的 调 试 思 路 ， 也 可 以 根 据 原 理 开 发 一 些 工 具 ， 如 s h e l l c o d e 生 成 E X E 文 件 工 具 等 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 须 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 须 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理