搜索

[19331] 2018-06-07_小技巧——病毒分析中关闭ASLR

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-06-07_小技巧——病毒分析中关闭ASLR 小 技 巧 — — 病 毒 分 析 中 关 闭 A S L R i 春 秋   2 0 1 8 - 0 6 - 0 7 作 者 ： 海 绵 体 V S 括 约 肌 i 春 秋 社 区 病 毒 分 析 中 关 闭 病 毒 分 析 中 关 闭 A S L R 分 析 病 毒 的 时 候 ， 尽 可 能 用 自 己 比 较 熟 悉 的 平 台 ， 这 样 可 以 大 大 地 节 省 时 间 ， 像 我 就 喜 欢 用 x p 了 ， 然 而 有 时 候 病 毒 非 要 在 更 高 版 本 的 系 统 上 运 行 ， 如 w i n 7 , s e r v e r 2 0 0 8 等 。 然 而 这 些 平 台 都 使 用 了 A S L R 技 术 ， 每 次 o d 载 入 时 ， 其 映 像 基 址 都 是 会 变 化 的 ， 而 你 有 时 候 需 要 计 算 一 些 地 址 ， 基 址 老 是 变 ， 烦 不 烦 ？ 那 么 我 们 要 怎 么 关 闭 A S L R 呢 ？ 这 就 要 从 A S L R 技 术 背 景 开 始 说 了 。 微 软 从 w i n d o w s   v i s t a / w i n d o w s   s e r v e r   2 0 0 8 （ k e r n e l   v e r s i o n   6 . 0 ） 开 始 采 用 A S L R 技 术 ， 主 要 目 的 是 为 了 防 止 缓 冲 区 溢 出 。 A S L R 技 术 会 使 P E 文 件 每 次 加 载 到 内 存 的 起 始 地 址 随 机 变 化 ， 并 且 进 程 的 栈 和 堆 的 起 始 地 址 也 会 随 机 改 变 。 该 技 术 需 要 操 作 系 统 和 编 译 工 具 的 双 重 支 持 （ 主 要 是 操 作 系 统 的 支 持 ， 编 译 工 具 主 要 作 用 是 生 成 支 持 A S L R 的 P E 格 式 ） 。 关 闭 关 闭 A S L R 操 作 系 统 方 面
操 作 系 统 方 面 关 闭 A S L R 支 持 ， 但 是 我 们 姿 势 不 够 ， 不 知 道 在 哪 里 关 闭 怎 么 办 呢 ？ 没 关 系 ， 我 们 可 以 看 看 别 人 是 怎 么 做 的 。 网 上 随 便 d o w n 一 个 关 闭 A S L R 工 具 。 使 用 s y s i n t e r n a l s 的 工 具 p r o c e s s m o n i t o r ， 监 控 一 下 别 人 是 怎 么 做 的 。 监 控 好 之 后 点 击 关 闭 A S L R ， 我 们 就 可 以 看 到 软 件 对 应 的 操 作 了 。 可 以 看 到 注 册 表 添 加 了 一 个 D W O R D 键 值 项 H K L M S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l S E S S I O N   M A N A G E R M E M O R Y M A N A G E M E N T M o v e I m a g e s ， 其 值 为 0 。
打 开 A S L R 就 是 删 除 掉 M o v e I M a g e s 键 值 项 好 ， 现 在 我 们 知 道 了 关 闭 A S L R 只 需 要 在 添 加 了 一 个 D W O R D 键 值 项 H K L M S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l S E S S I O N M A N A G E R M E M O R Y   M A N A G E M E N T M o v e I m a g e s ， 其 值 为 0 。 然 后 重 启 电 脑 就 行 了 。 那 么 ， 要 是 我 们 不 想 重 启 电 脑 呢 ， 那 可 以 通 过 编 译 工 具 入 手 ， 若 不 想 使 用 A S L R 功 能 ， 可 以 在 V S 编 译 的 时 候 将 “ 配 置 属 性 配 置 属 性 - > 链 接 器 链 接 器 - > 高 高
级 级 - > 随 机 基 址 随 机 基 址 ” 的 值 修 改 为 否 即 可 。 然 而 我 们 分 析 病 毒 ， 怎 么 可 能 有 源 码 让 我 们 来 编 译 呢 。 p e 头 头 那 么 这 个 时 候 我 们 可 以 通 过 修 改 p e 头 中 可 选 头 的 D l l C h a r a c t e r i s t i c s 来 达 成 我 们 的 目 的 。 就 拿 w a n n a m i n e 这 个 病 毒 来 举 例 ， w a n n n a m i n e 内 的 s p o o l s v . e x e 是 基 址 是 动 态 变 化 的 。 现 在 修 改 p e 头 D l l C h a r a c t e r i s t i c s ， 将 动 态 基 址 选 项 去 掉 。 即 将 D l l C h a r a c t e r i s t i c s 值 8 1 4 0 改 为 8 1 0 0 。 可 以 看 到 其 基 址 变 回 我 们 熟 悉 的 0 x 4 0 0 0 0 0 了 。
最 后 给 出 修 改 p e 头 的 p y t h o n 脚 本 编 辑 ： 咕 嘟 嘟 责 任 编 辑 ： 小 南 瓜 校 对 ： 小 林 龙 马 、 山 雾 草 野 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理