搜索

[20355] 2020-08-07_恶意代码分析系列-几种常用技术（2）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-07_恶意代码分析系列-几种常用技术（2） 恶 意 代 码 分 析 系 列 - 几 种 常 用 技 术 （ 2 ） K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 7 以 下 文 章 来 源 于 雷 石 安 全 实 验 室   ， 作 者 雷 石 安 全 实 验 室 介 绍 介 绍 在 很 多 时 候 为 了 能 够 对 目 标 进 程 空 间 数 据 进 行 修 改 ， 或 者 使 用 目 标 进 程 的 名 称 来 执 行 自 己 的 代 码 ， 实 现 危 害 用 户 的 操 作 ， 通 常 是 将 一 个   文 件 或 者   注 入 到 目 标 进 程 中 去 执 行 。 这 里 分 享 四 种 常 用 的 注 入 技 术 ， 其 中 使 用   注 入 的 方 法 最 为 普 遍 。 全 局 钩 子 注 入 全 局 钩 子 注 入 在 W i n d o w s 中 大 部 份 的 应 用 程 序 都 是 基 于 消 息 机 制 的 ， 他 们 都 有 一 个 消 息 过 程 函 数 ， 根 据 消 息 完 成 不 同 的 功 能 。 W i n d o w s 操 作 系 统 提 供 的 钩 子 机 制 就 是 用 来 截 获 和 监 视 这 些 消 息 的 。 按 照 钩 子 的 范 围 不 同 ， 它 们 又 可 以 分 为 局 部 钩 子 和 全 局 钩 子 ， 局 部 钩 子 是 针 对 某 个 线 程 的 ； 而 全 局 钩 子 则 是 作 用 于 整 个 系 统 的 基 于 消 息 的 应 用 。 全 局 钩 子 需 要 使 用   文 件 , 在   中 实 现 相 应 的 钩 子 函 数 。 关 键 函 数 安 装 钩 子 程 序   卸 载 钩 子 函 数   雷 石 安 全 实 验 室 雷 石 安 全 实 验 室   . 雷 石 安 全 实 验 室 以 团 队 公 众 号 为 平 台 向 安 全 工 作 者 不 定 期 分 享 渗 透 、 A P T 、 企 业 安 全 建 设 等 新 鲜 干 货 ， 团 队 公 众 号 致 力 于 成 为 一 个 实 用 干 货 分 享 型 公 众 号 。 D L L S h e l l C o d e D L L D L L D L L S e t W i n d o w s H o o k E x ( ) W I N U S E R A P I H H O O K W I N A P I   S e t W i n d o w s H o o k E x A (         _ I n _   i n t   i d H o o k ,                 / /   要 安 装 的 钩 子 的 类 型 例 如 键 盘   鼠 标   对 话 框 等         _ I n _   H O O K P R O C   l p f n ,           / /   一 个 指 向 钩 子 程 序 的 指 针         _ I n _ o p t _   H I N S T A N C E   h m o d , / /   包 含 l p f n 参 数 指 向 的 钩 子 过 程 的 D L L 句 柄         _ I n _   D W O R D   d w T h r e a d I d ) ;   / /   与 钩 子 程 序 相 关 联 的 线 程 标 识 符
钩 子 回 调 函 数 远 程 线 程 注 入 远 程 线 程 注 入 远 程 线 程 注 入 是 指 一 个 进 程 在 另 一 个 进 程 中 创 建 线 程 的 技 术 ， 是 一 种 经 典 的 注 入 技 术 函 数   — — 打 开 目 标 进 程 函 数   指 定 进 程 的 虚 拟 地 址 空 间 内 保 留 、 提 交 或 者 更 改 内 存 的 状 态 U n h o o k W i n d o w s H o o k E x B O O L   U n h o o k W i n d o w s H o o k E x (     H H O O K   h h k ) ; / /   表 示 将 当 前 的 钩 子 传 递 给 钩 子 链 中 的 下 一 个 钩 子 L R E S U L T W I N A P I   C a l l N e x t H o o k E x (         _ I n _ o p t _   H H O O K   h h k ,         _ I n _   i n t   n C o d e ,         _ I n _   W P A R A M   w P a r a m ,         _ I n _   L P A R A M   l P a r a m ) ; O p e n P r o c e s s ( ) H A N D L E W I N A P I   O p e n P r o c e s s (         _ I n _   D W O R D   d w D e s i r e d A c c e s s ,     / /   访 问 进 程 对 象         _ I n _   B O O L   b I n h e r i t H a n d l e ,         / /   若 此 值 为 t r u e ， 则 此 进 程 创 建 的 进 程 将 继 承 该 句 柄         _ I n _   D W O R D   d w P r o c e s s I d               / /   要 打 开 的 本 地 进 程 的 P I D         ) ; / /   返 回 值 ： 若 成 功 返 回 句 柄 ， 失 败 返 回 N U L L V i r t u a l A l l o c E x ( ) L P V O I D W I N A P I V i r t u a l A l l o c E x (         _ I n _   H A N D L E   h P r o c e s s ,             / /   进 程 句 柄         _ I n _ o p t _   L P V O I D   l p A d d r e s s ,   / /   指 定 要 分 配 页 面 所 需 的 起 始 指 针 ， 为 N U L L 自 动 分 配         _ I n _   S I Z E _ T   d w S i z e ,                 / /   要 分 配 内 存 的 大 小         _ I n _   D W O R D   f l A l l o c a t i o n T y p e ,   / /   内 存 分 配 的 类 型 ： 保 留 、 提 交 和 更 改         _ I n _   D W O R D   f l P r o t e c t                   / /   页 面 区 域 的 内 存 保 护         ) ; / /   返 回 值 ： 函 数 成 功 返 回 分 配 的 基 址 ， 失 败 返 回 N U L L
函 数   — — 在 指 定 的 进 程 中 将 数 据 写 入 内 存 区 域 函 数   — — 实 现 注 入 的 核 心 函 数 在 另 一 个 进 程 的 虚 拟 地 址 中 创 建 运 行 的 线 程 从 以 上 这 些 函 数 的 作 用 我 们 实 现 的 原 理 就 很 清 晰 了 ， 先 在 指 定 进 程 申 请 一 段 地 址 然 后 将 准 备 好 的   或 者 一 个   文 件 写 入 到 这 块 内 存 空 间 中 。 注 意 ： 对 于 一 些 系 统 服 务 这 样 通 常 会 注 入 失 败 ， 由 于 系 统 存 在 S E S S I O N   0 隔 离 的 安 全 机 制 ， 需 调 用 一 个 更 加 底 层 的   来 实 现 。 W r i t e P r o c e s s M e m o r y ( ) B O O L W I N A P I   W r i t e P r o c e s s M e m o r y (         _ I n _   H A N D L E   h P r o c e s s ,       / /   要 修 改 的 进 程 句 柄         _ I n _   L P V O I D   l p B a s e A d d r e s s ,   / /   指 向 指 定 进 程 中 写 入 数 据 的 基 地 址 指 针         _ I n _ r e a d s _ b y t e s _ ( n S i z e )   L P C V O I D   l p B u f f e r ,   / /   指 向 缓 冲 区 的 指 针         _ I n _   S I Z E _ T   n S i z e ,         / /   要 写 入 指 定 进 程 的 字 节 数         _ O u t _ o p t _   S I Z E _ T *   l p N u m b e r O f B y t e s W r i t t e n     / /   指 向 变 量 的 指 针 ， 该 变 量 接 收 传 输 到 指 定 进 程 的 字 节 数         ) ; / /   返 回 值 ： 函 数 成 功   ! =   0 ; 失 败 返 回 0   / /   注 意 ： 写 入 区 域 的 内 存 要 可 访 问 ， 否 则 操 作 失 败 C r e a t e R e m o t e T h r e a d ( ) H A N D L E W I N A P I   C r e a t e R e m o t e T h r e a d (         _ I n _   H A N D L E   h P r o c e s s ,       / /   要 创 建 线 程 的 进 程 的 句 柄         _ I n _ o p t _   L P S E C U R I T Y _ A T T R I B U T E S   l p T h r e a d A t t r i b u t e s ,                 / /   指 向 安 全 描 述 符 的 指 针         _ I n _   S I Z E _ T   d w S t a c k S i z e ,     / /   堆 栈 的 初 始 大 小 ， 若 为 0 则 新 线 程 使 用 可 执 行 文 件 的 默 认 大 小         _ I n _   L P T H R E A D _ S T A R T _ R O U T I N E   l p S t a r t A d d r e s s ,                 / /   指 向 由 线 程 执 行 类 型 为 L P T H R E A D _ S T A R T _ R O U T I N E 的 应 用 程 序 定 义 的 函 数 指 针 ， 并 表 示 远 程 进 程   中 线 程 的 起 始 地 址 ， 该 函 数 必 须 存 在 于 远 程 进 程 中         _ I n _ o p t _   L P V O I D   l p P a r a m e t e r ,     / /   要 传 递 给 线 程 函 数 的 变 量 的 指 针         _ I n _   D W O R D   d w C r e a t i o n F l a g s ,       / /   控 制 线 程 创 建 的 标 志         _ O u t _ o p t _   L P D W O R D   l p T h r e a d I d     / /   接 收 线 程 标 志 符 变 量 的 指 针         ) ; / /   返 回 值 ： 成 功   新 线 程 的 句 柄 ， 失 败 ： 返 回 N U L L s h e l l c o d e D L L Z w C r e a t e T h r e a d E x ( )
A P C 队 列 注 入 队 列 注 入 A P C   (   )   为 异 步 过 程 调 用 ， 是 指 函 数 在 特 定 线 程 中 被 异 步 执 行 。 在 W i n d o w s 系 统 中 ，   是 一 种 并 发 机 制 , 用 于 异 步 I O 或 者 定 时 器 。 每 一 个 线 程 都 有 自 己 的   A P C   队 列 ， 使 用   函 数 把 一 个   A P C   函 数 压 入   A P C   队 列 中 。 当 处 于 用 户 模 式 的   A P C   压 入 线 程   A P C   队 列 后 ， 该 线 程 并 不 直 接 调 用   A P C   函 数 , 除 非 该 线 程 处 于 可 通 知 状 态 ， 调 用 的 顺 序 为 先 入 先 出 。 函 数 的 注 入 原 理 是 利 用 当 线 程 被 唤 醒 时   中 的 注 册 函 数 会 执 行 的 机 制 ， 并 以 此 去 执 行   加 载 代 码 ， 进 而 完 成   注 入 。 为 了 增 加 成 功 率 ， 可 以 向 目 标 进 程 中 的 所 有 线 程 都 插 入   。 自 定 义 自 定 义 H O O K 自 定 义 H O O K 大 致 可 以 分 为 两 类 A s y n c h r o n u s P r o c e d u r e C a l l A P C Q u e u e U s e r A P C W I N B A S E A P I D W O R D   W I N A P I   Q u e u e U s e r A P C (         _ I n _   P A P C F U N C   p f n A P C ,     / /   指 向 A P C 函 数 的 指 针         _ I n _   H A N D L E   h T h r e a d ,       / /   线 程 句 柄         _ I n _   U L O N G _ P T R   d w D a t a     / /   由 p f n A P C 参 数 指 向 的 A P C 函 数 的 单 个 值         ) ; / /   返 回 值   成 功 非 0 ； 失 败 返 回 0   A P C A P C D L L D L L A P C
i n l i n e h o o k I A T H O O K i n l i n e h o o k   是 一 种 通 过 修 改 机 器 码 的 方 式 来 实 现 H O O K 的 技 术 原 理 ： 原 理 ： 对 于 一 个 正 常 的 程 序 如 下 图 ， 通 过   指 令 来 调 用 函 数 。 关 于   指 令 相 当 于     当 前 函 数 地 址 和   要 执 行 的 指 令 位 置 ， 即     , 这 是 我 们 正 常 执 行   这 个 函 数 的 样 子 。 我 们 在 h o o k 的 时 候 就 是 将 C A L L 指 令 直 接 改 成   指 令 , 跳 到 我 们 自 己 编 写 的 函 数 的 位 置 ， 执 行 完 成 之 后 跳 回 函 数 原 来 指 令 的 下 一 条 指 令   ， 需 要 注 意 的 是 跳 转 偏 移 要 多 计 算 5 个 字 节 计 算 公 式 ： 计 算 公 式 ：   跳 转 偏 移   =   目 标 地 址   -   所 在 的 地 址   -   5 实 现 方 法 1 .   获 取 函 数 的 实 际 地 址 2 .   修 改 内 存 分 页 属 性 C A L L C A L L p u s h j m p p u s h 0 1 7 1 B 7 B 3 j m p 0 1 7 1 B 4 3 0 0 0 . 0 1 7 1 B 4 3 0 j m p 0 1 7 1 B 7 B 3 j m p
3 .   计 算 跳 转 偏 移 ， 修 改 目 标 地 址 ， 还 原 内 存 属 性 4 .   获 取 实 际 地 址 返 回 用 户 层 的   是 通 过 替 换   表 中 函 数 的 原 始 地 址 从 而 实 现 的 H o o k 与 普 通 的   不 一 样 ，   需 要 充 分 理 解 P E 文 件 的 结 构 才 能 完 成 ， 关 于 相 对 虚 拟 地 址 （   ） 、 文 件 偏 移 地 址 （   ） 和 加 载 基 址 等 概 念 可 以 自 行 查 阅 相 关 资 料 。 实 现 方 法 v o i d   O n H o o k ( )   {               / / 获 取 函 数 实 际 地 址                 H M O D U L E   M o d u l e   =   G e t M o d u l e H a n d l e A ( " k e r n e l 3 2 . d l l " ) ;                 L P V O I D   f u n c   =   G e t P r o c A d d r e s s ( M o d u l e ,   " O p e n P r o c e s s " ) ;         / / 保 存 5 个 字 节                 m e m c p y ( g _ o l d C o d e ,   f u n c ,   5 ) ;         / / 修 改 内 存 分 页 属 性 ， 由 于 代 码 段 是 不 可 写 的 ， 所 有 必 须 先 将 它 的 属 性 变 成 可 写                 D W O R D   d w P r o t e c t ;                 V i r t u a l P r o t e c t ( f u n c ,   5 ,   P A G E _ E X E C U T E _ R E A D W R I T E ,   & d w P r o t e c t ) ;                 / / 计 算 跳 转 偏 移         * ( D W O R D * ) & g _ n e w C o d e [ 1 ]   =   ( D W O R D ) M y O p e n P r o c e s s   -   ( D W O R D ) f u n c   -   5 ;                 / / 修 改 目 标 地 址           m e m c p y ( f u n c ,   g _ n e w C o d e ,   5 ) ;                 / / 还 原 内 存 分 页 属 性                 V i r t u a l P r o t e c t ( f u n c ,   5 ,   d w P r o t e c t ,   & d w P r o t e c t ) ;   } ; I A T H o o k I A T I n l i n e H o o k I A T H o o k R V A F O A / / 获 取 指 定 d l l 导 出 地 址 表 的 中 函 数 地 址   D W O R D   *   G e t I a t A d d r e s s ( c o n s t   c h a r   *   d l l N a m e ,   c o n s t   c h a r *   f u n N a m e )   {                 / /   1 .   获 取 加 载 基 址 并 转 换 成 D O S 头                 a u t o   D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) G e t M o d u l e H a n d l e ( N U L L ) ;         / /   2 .   通 过   D O S   头 的 后 一 个 字 段   e _ l f a n e w   找 到   N T   头 的 偏 移                 a u t o   N t H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( D o s H e a d e r - > e _ l f a n e w   +   ( D W O R D ) D o s H e a d e r ) ;         / /   3 .   在 数 据 目 录 表 下 标 为 [ 1 ] 的 地 方 找 到 导 入 表 的 R V A                 D W O R D   I m p R V A   =   N t H e a d e r - > O p t i o n a l H e a d e r . D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s ;         / /   4 .   获 取 到 导 入 表 结 构 体 ， 因 为 程 序 已 经 运 行 了 ， 所 以 不 需 要 转 F O A                 a u t o   I m p T a b l e   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( ( D W O R D ) D o s H e a d e r   +   I m p R V A ) ;
总 结 总 结 钩 子 技 术 总 结 起 来 就 是 通 过 各 种 手 段 来 修 改 代 码 代 码 或 者 地 址 地 址 从 而 让 程 序 来 执 行 我 们 自 己 编 写 的 代 码 ， 在 分 析 恶 意 程 序 时 关 注 一 下 这 些 敏 感 的   函 数 组 合 ， 在 查 看 程 序 基 本 信 息 的 时 候 就 可 以 大 致 做 出 猜 测 。 下 一 篇 继 续 分 享 常 见 的 启 动 和 隐 藏 技 术 ， 继 续 刨 析 病 毒 的 实 现 原 理 。 e n d         a u t o   I m p T a b l e   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( ( D W O R D ) D o s H e a d e r   +   I m p R V A ) ;         / /   遍 历 导 入 表 ， 以 一 组 全 0 的 结 构 结 尾                 w h i l e   ( I m p T a b l e - > N a m e )             {                                 / /   获 取 当 前 导 入 表 结 构 描 述 的 结 构 体 的 名 称                                 C H A R *   N a m e   =   ( C H A R * ) ( I m p T a b l e - > N a m e   +   ( D W O R D ) D o s H e a d e r ) ;                 / /   忽 略 大 小 写 进 行 比 较 ， 查 看 是 否 是 需 要 的 导 入 表 结 构                                 i f   ( ! _ s t r i c m p ( N a m e ,   d l l N a m e ) )                                 {                                                 / /   找 到 对 应 的   I N T   表 以 及   I A T   表                                                 D W O R D *   I n t T a b l e   =   ( D W O R D * ) ( ( D W O R D ) D o s H e a d e r   +   I m p T a b l e - > O r i g i n a l F i r s t T h u n k ) ;                                                 D W O R D *   I a t T a b l e   =   ( D W O R D * ) ( ( D W O R D ) D o s H e a d e r   +   I m p T a b l e - > F i r s t T h u n k ) ;                                                 / /   遍 历 所 有 的 函 数 名 称 ， 包 括 有 / 没 有 名 称                                                 f o r   ( i n t   i   =   0 ;   I n t T a b l e [ i ]   ! =   0 ;   + + i )                                                 {                                                                 / /   比 对 函 数 是 否 存 在 函 数 名 称 表 中                                                                 i f   ( ( I n t T a b l e [ i ]   &   0 x 8 0 0 0 0 0 0 0 )   = =   0 )                                                                 {                                                                                 / /   获 取 到 导 入 名 称 结 构                                                                                 a u t o   N a m e   =   ( P I M A G E _ I M P O R T _ B Y _ N A M E ) ( ( D W O R D ) D o s H e a d e r   +   I n t T a b l e [ i ] ) ;                                         / /   比 对 函 数 的 名 称                                                                                 i f   ( ! s t r c m p ( f u n N a m e ,   N a m e - > N a m e ) )                                                                                 {                                                                                                 / /   返 回 函 数 在 I A T 中 保 存 的 地 址                                                                                                 r e t u r n   & I a t T a b l e [ i ] ;                                                                                 }                                                                 }                                                 }                                 }                                 I m p T a b l e + + ;                 }                 r e t u r n   0 ;   } A P I
                                                                                我 就 知 道 你 “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理