搜索

[10496] 2016-09-12_详解WindowsShim的攻防利用

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-09-12_详解WindowsShim的攻防利用 详 解 W i n d o w s   S h i m 的 攻 防 利 用 n i c k c h a n g   F r e e B u f   2 0 1 6 - 0 9 - 1 2 * 本 文 原 创 作 者 ： n i c k c h a n g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         背 景 背 景 二 十 多 年 来 ， 操 作 系 统 的 发 展 突 飞 猛 进 ， w i n d o w s 也 走 过 了 各 种 版 本 。 微 软 每 次 都 在 新 版 本 中 加 入 很 多 的 改 进 。 比 如 完 善 某 些 A P I ， 引 入 新 的 安 全 机 制 ( U A C , A S L R , … ) ， 调 整 系 统 目 录 结 构 ( A p p l i c a t i o n   D a t a 目 录   从 w i n 9 8 的 % w i n d i r % A p p l i c a t i o n   D a t a 变 成 w i n X p 的 % U S E R P R O F I L E % A p p l i c a t i o n   D a t a ， 后 又 变 成 V i s t a 的 % A P P D A T A % ) ， 这 些 改 动 会 影 响 w i n d o w s 的 向 后 兼 容 性 （ b a c k w a r d   c o m p a t i b i l i t y ） 。 对 于 一 个 开 发 w i n d o w s 程 序 的 程 序 员 来 说 ， 他 无 法 预 见 未 来 的 w i n d o w s 会 作 出 哪 些 调 整 ， 那 么 如 何 保 证 现 在 发 布 的 程 序 也 能 在 未 来 新 版 本 的 w i n d o w s 下 运 行 呢 ？ 对 于 第 三 方 软 件 商 来 说 ， 这 基 本 上 就 是 不 可 能 完 成 的 任 务 。 一 个 在 V i s t a 运 行 得 好 好 的 程 序 很 可 能 在 w i n 7 下 无 法 运 行 。 因 为 一 个 极 小 的 A P I 改 动 都 可 能 让 该 程 序 崩 溃 。 比 如 下 图 ， 在 S D K 6 . 0 ( V i s t a ) 和 S D K 7 . 1 ( w i n 7 ) 下 ， c l u s a p i . d l l   里 的 C r e a t e C l u s t e r ( )   的 参 数 不 一 致 ： 新 版 本 的 C r e a t e C l u s t e r ( ) 没 有 t A c c e p t P a r t i a l F a i l u r e 这 个 参 数 。 （ 如 果 感 兴 趣 的 话 ， 这 个 链 接   h t t p : / / a b i - l a b o r a t o r y . p r o / c o m p a t i b i l i t y / 提 供 了 更 全 面 的 各 个 版 本 w i n d o w s   A P I 兼 容 性 的 比 较 。 ） 假 设 一 个 在 S D K 6 . 0 下 编 译 的 程 序 调 用 了 这 个 A P I ， 代 码 编 译 后 如 下 ：
然 而 w i n 7 下 ， 新 版 c l u s a p i . d l l 的 C r e a t e C l u s t e r ( ) 并 没 有 t A c c e p t P a r t i a l F a i l u r e 这 个 参 数 ， 导 致 该 程 序 多 p u s h 进 一 个 参 数 ， 这 会 使 该 函 数 在 运 行 时 发 生 不 可 预 见 的 问 题 。 因 此 ， 微 软 每 推 出 一 款 新 版 本 的 w i n d o w s ， 开 发 者 原 则 上 理 应 检 查 自 己 的 程 序 是 否 在 新 版 本 w i n d o w s 上 存 在 问 题 。 如 果 有 问 题 ， 则 进 行 兼 容 性 修 复 ， 比 如 重 写 A P I 调 用 并 且 重 新 编 译 。 但 是 事 实 上 ， 大 多 数 软 件 公 司 并 没 有 兴 趣 长 期 维 护 旧 产 品 ， 而 且 有 的 软 件 公 司 已 经 倒 闭 ， 开 发 团 队 都 散 了 。 这 就 造 成 了 很 多 旧 软 件 无 法 在 新 w i n d o w s 下 运 行 。 这 种 情 况 下 用 户 会 责 备 谁 呢 ？ 当 然 是 微 软 ， 因 为 这 个 程 序 在 w i n 7 下 运 行 得 好 好 的 ， 为 什 么 w i n 1 0 下 就 跑 不 起 来 了 呢 ？ 程 序 不 会 有 问 题 ， 一 定 是 w i n 1 0 的 问 题 ！ 这 样 一 来 ， 微 软 不 得 不 为 第 三 方 软 件 商 擦 屁 股 。 传 说 微 软 在 研 发 w i n 9 5 的 时 候 特 意 派 人 去 软 件 专 卖 店 买 了 一 卡 车 w i n 3 . 1 下 的 软 件 ， 拿 回 去 逐 一 测 试 能 否 在 w i n 9 5 下 正 常 运 行 。 如 果 发 现 不 能 正 常 运 行 ， 如 何 修 复 呢 ？ 这 就 要 用 到 本 文 的 主 角 ： S h i m 。 S h i m 的 本 意 是 垫 圈 或 垫 片 。 理 论 上 说 ， 任 何 的 计 算 机 问 题 都 可 以 新 增 一 层 逻 辑 来 解 决 。 理 论 上 说 ， 任 何 的 计 算 机 问 题 都 可 以 新 增 一 层 逻 辑 来 解 决 。 S h i m 也 也 是 这 么 一 个 垫 在 应 用 程 序 和 是 这 么 一 个 垫 在 应 用 程 序 和 w i n d o w s A P I 之 间 的 逻 辑 层 之 间 的 逻 辑 层 。 F r e e b u f 上 有 一 篇 很 好 的 关 于 s h i m 的 简 介 （   h t t p : / / w w w . f r e e b u f . c o m / n e w s / 4 8 8 7 8 . h t m l ） 。 简 而 言 之 ， 当 一 个 应 用 程 序 开 始 运 行 的 时 候 ， S h i m 把 导 入 地 址 表 （ I A T ） 里 的 系 统 D L L 库 函 数 地 址 用 S h i m D L L 里 的 函 数 地 址 来 替 换 ， 从 而 可 以 透 明 的 拦 截 其 A P I 调 用 ， 修 改 其 传 递 的 参 数 等 等 。 这 个 过 程 相 当 于 w i n d o w s 自 己 做 了 一 个 I A T h o o k i n g 。 如 图 所 示 ， 一 个 应 用 程 序 在 调 用 W i n d o w s   A P I 之 前 ， 修 改 了 I A T 从 而 被 重 定 向 到 S h i m 。 如 果 你 对 S h i m 的 细 节 感 兴 趣 ， 请 参 考 这 两 篇 对 S h i m 逆 向 的 研 究 h t t p : / / b l o g . c s d n . n e t / c e l e s t i a l w y / a r t i c l e / d e t a i l s / 7 0 7 1 4 8 h t t p : / / b b s . p e d i y . c o m / s h o w t h r e a d . p h p ? t = 1 7 5 4 8 3 当 然 ， 并 不 是 所 有 的 程 序 都 会 被 S h i m 。 W i n d o w s 自 己 维 护 着 一 个 S h i m 数 据 库 （ s d b 文 件 ， 位 于 % w i n d i r % A p p P a t c h s y s m a i n . s d b ） 。 当 一 个 应 用 程 序 创 建 进 程 的 时 候 ， W i n d o w s L o a d e r 会 检 查 s y s m a i n . s d b ， 并 判 断 时 否 该 程 序 需 要 被 修 复 ， 以 及 如 何 被 修 复 。 比 如 下 图 ， 当 我 运 行 t e s t . e x e 的 时 候 ， 用 p r o c e s s m o n i t o r 可 以 看 见 系 统 读 取 了 s y s m a i n . s d b 这 个 文 件 。 S h i m   数 据 库 包 含 了 大 约 数 据 库 包 含 了 大 约 5 0 0 0 多 条 记 录 。 每 个 记 录 对 应 一 个 需 要 被 多 条 记 录 。 每 个 记 录 对 应 一 个 需 要 被 S h i m 的 应 用 程 序 。 记 录 的 内 容 分 两 部 分 ： 的 应 用 程 序 。 记 录 的 内 容 分 两 部 分 ： 1 ． 定 义 如 何 识 别 该 应 用 程 序 。 比 如 通 过 文 件 名 识 别 ， 或 者 通 过 某 些 文 件 属 性 值 ( 版 本 号 ， 文 件 大 小 ， 等 等 ) 来 匹 配 。 P u s h   p v C a l l b a c k A r g P u s h   p f n P r o g r e s s C a l l b a c k P u s h   t A c c e p t P a r t i a l F a i l u r e P u s h   p C o n f i g C a l l   C r e a t e C l u s t e r
例 如 识 别 大 航 海 时 代 4 就 利 用 了 其 文 件 名 ( d k 4 . e x e , d k 4 p k . e x e , d k 4 . i c o ) 并 且 d k 4 . e x e 的 ” p r o d u c t _ n a m e ” 属 性 必 须 包 含 字 符 串 ” 大 航 海 时 代 ” 。 2 ． 定 义 如 何 修 复 该 应 用 程 序 。 比 如 修 改 操 作 系 统 的 版 本 号 ， 修 改 A P I 参 数 ， 禁 用 某 些 功 能 等 等 。 做 一 个 小 实 验 ， 在 w i n 7 下 随 便 找 一 个 带 窗 口 的 可 执 行 文 件 ， 把 文 件 名 改 为 ” 3 D   F r o g   F r e n z y . e x e ” 。 然 后 运 行 这 个 文 件 ， 你 会 发 现 A l t T a b 没 反 应 了 。 这 是 因 为 S h i m 起 了 作 用 ， 如 下 图 所 示 ， S h i m 只 要 识 别 了 应 用 程 序 文 件 名 为 ” 3 D F r o g   F r e n z y . e x e ” ， 便 启 动 了 对 应 的 修 复 机 制 ， 包 括 忽 略 A l t T a b 。 因 此 ， 只 要 文 件 名 为 ” 3 D   F r o g   F r e n z y . e x e ” , A l t T a b 就 失 效 了 。 这 里 推 介 一 款 微 软 的 S h i m 工 具 :   A p p l i c a t i o n   C o m p a t i b i l i t y   T o o l k i t ( A C T )   （ h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 7 3 5 2 ） 这 个 工 具 可 以 查 看 S h i m 数 据 库 。 打 开 浏 览 一 下 ， 看 到 一 大 堆 十 几 年 前 的 经 典 软 件 ， 比 如 豪 杰 超 级 解 霸 ， 东 方 快 车 。 。 。 利 用 利 用 S h i m 的 攻 击 的 攻 击 除 了 微 软 自 带 的 S h i m 数 据 库 以 外 ， 用 户 还 可 以 给 任 意 程 序 自 定 义 S h i m 修 复 方 式 。 这 在 提 高 兼 容 性 的 同 时 也 引 入 了 一 些 安 全 隐 患 。 特 别 是 A C T 工 具 内 嵌 了 8 0 0 多 种 修 复 方 式 ， A C T 工 具 允 许 用 户 很 容 易 的 给 任 意 程 序 添 加 ” 特 殊 的 ” 修 复 方 法 （ 大 概 3 0 秒 就 可 以 搞 定 ） 。 这 些 ” 特 殊 的 ” 修 复 方 法 可 能 被 攻 击 者 用 来 做 一 些 猥 琐 的 事 情 。 用 A C T 工 具 自 定 义 S h i m 的 方 法 如 下 ： 1 ． 先 选 择 一 个 应 用 程 序 ． 先 选 择 一 个 应 用 程 序
2 ． 然 后 可 以 选 择 修 复 方 式 ， 大 概 有 ． 然 后 可 以 选 择 修 复 方 式 ， 大 概 有 3 0 0 多 种 可 供 选 择 ， 如 果 启 动 多 种 可 供 选 择 ， 如 果 启 动 A C T 的 时 候 用 了 的 时 候 用 了 “ / x ” 参 数 ， 修 复 方 式 会 增 加 到 参 数 ， 修 复 方 式 会 增 加 到 8 0 0 多 多 种 。 种 。 S e a n   P i e r c e 在 在 b l a c k h a t   2 0 1 5 总 结 过 一 些 可 以 被 恶 意 利 用 的 总 结 过 一 些 可 以 被 恶 意 利 用 的 S h i m 修 复 方 法 ： 修 复 方 法 ： 1 . 强 制 关 闭 进 程 强 制 关 闭 进 程 ： ” T e r m i n a t e E x e ” 可 以 用 来 强 制 关 闭 某 些 安 全 程 序 （ 还 有 那 些 s y s i n t e r n a l 的 检 测 工 具 ） ， 相 似 的 还 有 ” I g n o r e L o a d L i b r a r y ” 。 2 . 禁 用 防 御 机 制 禁 用 防 御 机 制 ： 选 择 ” D i s a b l e A S L R ” ,   ” D i s a b l e S e h ” 等 可 以 禁 用 掉 某 些 程 序 的 防 御 机 制 ， 从 而 进 一 步 溢 出 攻 击 。 3 . 系 统 驻 留 系 统 驻 留 ： 用 ” I n j e c t D L L ” ,   ” L o a d L i b r a r y R e d i r e c t ” 等 可 以 把 恶 意 代 码 注 入 到 一 些 常 用 程 序 ， 比 如 W O R D . e x e 。 那 么 每 次 启 动 W o r d . e x e ， 恶 意 代 码 会 先 运 行 。 这 种 驻 留 方 法 比 传 统 的 方 法 （ 注 册 表 ） 更 不 容 易 被 发 现 。 安 全 检 测 工 具 例 如 A u t o r u n . e x e 也 发 现 不 了 。 4 . 绕 过 分 析 绕 过 分 析 ： 病 毒 可 以 把 一 部 分 重 要 代 码 （ 比 如 脱 壳 解 密 ） 放 在 D L L 里 ， 然 后 设 置 自 定 义 S h i m 用 ” I n j e c t D L L ” 调 入 。 在 这 种 情 况 下 ， 简 单 的 把 病 毒 和 D L L 拷 贝 到 沙 盒 里 运 行 进 行 动 态 分 析 往 往 不 会 成 功 。 因 为 “ I n j e c t D L L ” 是 自 定 义 的 S h i m , 而 沙 盒 上 没 有 设 置 同 样 的 S h i m 。 比 如 我 们 如 果 不 想 让 3 6 0 正 常 工 作 ， 那 么 可 以 给 3 6 0 安 全 中 心 设 置 一 个 自 定 义 的 S h i m 修 复 ， 选 择 Q H S a f e M a i n . e x e 。
选 择 ” R e d i r e c t E X E ” 并 且 设 置 命 令 行 参 数 ,   这 里 我 想 设 置 重 定 向 到 I E ， 并 打 开 腾 迅 的 主 页 。 所 以 命 令 行 参 数 我 填 上   ” c : p r o g r a m   f i l e s   ( x 8 6 ) I n t e r n e t   E x p l o r e r i e x p l o r e . e x e   w w w . q q . c o m ” 。 保 存 ， 并 且 安 装 以 后 ， 双 击 右 下 角 托 盘 里 的 3 6 0 图 标 ， 3 6 0 安 全 中 心 没 有 打 开 ， 取 而 代 之 的 是 弹 出 了 腾 迅 的 网 站 。
当 然 ， 这 种 攻 击 方 法 也 有 当 然 ， 这 种 攻 击 方 法 也 有 2 个 弱 点 个 弱 点 1 . 攻 击 者 需 要 目 标 主 机 的 管 理 员 权 限 来 安 装 自 定 义 S h i m 。 2 . S h i m 只 工 作 于 用 户 模 式 ， 因 此 只 能 用 于 设 置 用 户 模 式 的 程 序 。 该 攻 击 方 式 对 内 核 模 块 无 效 。 利 用 利 用 s h i m   缓 存 进 行 取 证 缓 存 进 行 取 证 每 次 执 行 应 用 程 序 ， 系 统 都 要 根 据 S h i m 数 据 库 来 检 查 该 应 用 程 序 是 否 需 要 被 S h i m 。 而 S h i m 数 据 库 里 有 5 0 0 0 + 记 录 ， 每 次 都 比 对 会 使 效 率 变 得 很 低 。 所 以 实 际 上 w i n d o w s 使 用 了 S h i m 缓 存 来 提 高 效 率 。 S h i m 缓 存 使 用 了 L R U ( L e a s t f r e q u e n t l y   u s e d   最 近 最 少 使 用 ) 淘 汰 算 法 ， 因 此 最 近 执 行 过 的 程 序 会 出 现 在 S h i m 缓 存 里 ，   下 一 次 运 行 该 程 序 的 时 候 就 不 需 要 比 对 S h i m 数 据 库 。 避 免 了 频 繁 比 对 从 而 提 高 了 效 率 。 W i n 7 的 S h i m 缓 存 可 以 跟 踪 应 用 程 序 的 最 近 修 改 时 间 ， 文 件 完 整 路 径 和 执 行 标 志 （ 后 面 会 介 绍 什 么 是 执 行 标 志 ） 。 该 缓 存 放 在 内 存 中 ， 所 以 我 们 可 以 用 V o l a t i l i t y 的 s h i m c a c h e m e m 插 件 来 取 出 信 息 。 如 下 图 所 示 。 安 全 分 析 人 员 在 病 毒 取 证 的 时 候 往 往 需 要 知 道 最 近 在 该 系 统 上 执 行 过 哪 些 程 序 。 这 个 时 候 用 v o l a t i t y 查 看 S h i m   缓 存 就 可 以 给 我 们 足 够 的 信 息 ： S h i m 缓 存 里 的 那 些 程 序 就 是 最 近 执 行 过 的 。 不 过 这 里 还 有 一 个 坑 。 在 某 些 情 况 下 ， 预 览 文 件 夹 的 时 候 e x p l o r e 会 把 该 文 件 夹 里 没 有 运 行 过 的 程 序 也 加 到 S h i m 缓 存 里 。 不 过 在 这 种 情 况 下 ， 该 缓 存 记 录 的 执 行 标 志 是 F a l s e ， 而 那 些 实 际 运 行 过 的 程 序 执 行 标 志 为 T r u e 。 比 如 上 图 的 例 子 里 ， S v c h o s t . e x e 是 运 行 过 的 ， 而 a u d i o d g . e x e 并 没 有 真 正 运 行 过 。 由 于 内 存 信 息 是 易 失 数 据 ， 很 多 时 候 安 全 分 析 人 员 可 能 无 法 得 到 完 整 的 内 存 d u m p 。 在 这 个 时 候 我 们 可 以 查 看 注 册 表 里 的 S h i m 缓 存 影 像 。 W i n 7 在 关 闭 或 重 启 的 时 候 会 把 S h i m 缓 存 序 列 化 到 注 册 表 的 以 下 位 置 。 该 注 册 表 键 的 记 录 长 度 是 固 定 的 ， 为 1 0 2 4 。 我 们 可 以 用 S h i m C a c h e P a r s e r . p y   来 读 取 该 信 息 。 值 得 注 意 的 是 由 于 w i n d o w s 只 有 在 关 闭 或 重 启 的 时 候 才 会 序 列 化 S h i m 缓 存 ， 所 以 此 处 S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r A p p C o m p a t C a c h e A p p C o m p a t C a c h e
是 上 一 次 w i n d o w s 运 行 时 的 S h i m 缓 存 。 这 里 我 模 拟 一 个 被 感 染 用 户 ， 该 用 户 从 邮 箱 下 载 并 运 行 了 一 段 恶 意 j a v a s c r i p t 脚 本 。   这 个 脚 本 会 下 载 一 个 P E 文 件 ， 存 于 临 时 目 录 下 ， 然 后 运 行 之 。 重 启 后 ， 用 S h i m C a c h e P a r s e r . p y   ， 结 果 如 下 图 。 根 据 L F U 算 法 ， 最 近 运 行 的 记 录 排 在 前 面 。 可 以 看 到 W s c r i p t . e x e 先 运 行 ， W s c r i p t . e x e 是 用 来 解 释 执 行 j a v a s c r i p t 的 。 然 后 看 到 临 时 目 录 下 的 t e 0 I o g n 3 c x Z H W O M . e x e 运 行 了 。 注 意 到 该 程 序 的 最 近 修 改 时 间 ( L a s t   m o d i f i e d   t i m e ) 为 1 6 年 8 月 1 1 日 0 9 点 3 5 分 4 8 秒 ， 就 是 我 点 击 恶 意 j a v a s c r i p t 的 时 间 ， 说 明 这 个 e x e 文 件 是 我 点 击 j a v a s c r i p t 的 时 候 新 创 建 的 。 结 合 文 件 路 径 信 息 ， 取 证 人 员 可 以 很 容 易 的 发 现 问 题 的 源 头 。 参 考 文 献 参 考 文 献 [ 1 ] .   w i n d o w s   的   s h i m   e n g i n e 分 析   h t t p : / / b l o g . c s d n . n e t / c e l e s t i a l w y / a r t i c l e / d e t a i l s / 7 0 7 1 4 8 [ 2 ] .   W i n d o w s   8 的 用 户 模 式 S h i m   E n g i n e 小 探 及 利 用   h t t p : / / b b s . p e d i y . c o m / s h o w t h r e a d . p h p ? t = 1 7 5 4 8 3 [ 3 ] .     F i r e e y e :   S h i m   S h a d y ,   h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 5 / 1 0 / s h i m _ s h a d y _ l i v e _ i n v / s h i m - s h a d y - p a r t - 2 . h t m l
[ 4 ] .   M a l i c i o u s   A p p l i c a t i o n   C o m p a t i b i l i t y   S h i m s ,   B l a c k h a t   2 0 1 5 * 本 文 原 创 作 者 ： n i c k c h a n g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载                 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理