搜索

[11532] 2017-07-05_NSA的第七种武器双脉冲星(DoublePulsar)后门详细分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-07-05_NSA的第七种武器双脉冲星(DoublePulsar)后门详细分析 N S A 的 第 七 种 武 器 | 双 脉 冲 星 ( D o u b l e P u l s a r )   后 门 详 细 分 析 银 河 实 验 室   F r e e B u f   2 0 1 7 - 0 7 - 0 5 1 .   引 言 引 言 N S A 的 一 系 列 的 一 系 列 S M B   漏 洞 利 用 的 背 后 ， 最 后 都 会 使 用 到 双 脉 冲 星 漏 洞 利 用 的 背 后 ， 最 后 都 会 使 用 到 双 脉 冲 星 ( D o u b l e P u l s a r ) 后 门 。 双 脉 冲 星 后 门 是 一 个 无 文 后 门 。 双 脉 冲 星 后 门 是 一 个 无 文 件 内 核 级 的 件 内 核 级 的 S M B 后 门 。 后 门 。 2 .   双 脉 冲 星 后 门 的 安 装 过 程 双 脉 冲 星 后 门 的 安 装 过 程 双 脉 冲 星 后 门 是 通 过 内 核 级 的 s h e l l c o d e 来 安 装 的 ( 在 x 8 6   系 统 上 , s h e l l c o d e 一 般 从 地 址 0 x f f d f f 1 f 1 开 始 ) 。 我 们 来 围 观 一 下 这 段 s h e l l c o d e . S h e l l c o d e 的 开 始 就 是 很 有 意 思 的 一 段 代 码 : 这 段 代 码 咋 看 有 些 多 余 ,   j z 的 跳 转 是 永 远 不 会 被 执 行 的 。 事 实 上 ， 这 段 代 码 是 用 来 测 试 系 统 是 否 为 6 4   位 系 统 。 在 6 4   位 系 统 上 ， 上 述 字 节 则 反 汇 编 为 这 样 一 来 ，   j z   总 是 会 跳 转 。 这 段 代 码 测 试 C P U 是 3 2 位 还 是 6 4 位 ， 根 据 测 试 结 果 跳 到 不 同 的 s h e l l c o d e 代 码 。 本 文 以 3 2 位 系 统 为 例 进 行 分 析 。 紧 接 着 ， 进 入 如 下 代 码 : 这 段 代 码 又 是 个 什 么 鬼 呢 ? 这 段 代 码 的 作 用 是 h o o k   S Y S E N T E R ,   具 体 可 参 见   [ 1 ] 。 下 次 执 行 S Y S E N T E R 指 令 的 时 候 ， 控 制 会 转 到 e b x + 1 7   的 代 码 , 即 地 址   F F D F F 2 2 1 。 跟 进 F F D F F 2 2 1   代 码 ，
这 段 代 码 过 河 拆 桥 ， 将 上 面 S Y S E N T E R 的 H o o k 摘 掉 。 随 后 执 行 F F D F F 3 9 A 这 个 函 数 正 是 试 图 安 装 双 脉 冲 星 后 门 的 函 数 。 这 个 函 数 篇 幅 略 长 ， 但 目 的 非 常 清 晰 ， 替 换 s r v . s y s ! S r v T r a c a t i o n 2 D i s p a t c h T a b l e   表 中   0 x e 项 函 数 指 针   ( 即 表 偏 移 0 x 3 8 ) 。 替 换 后 的 代 码 即 为 S M B 的 后 门 函 数 。 在 f f d f f 5 1 e 处 下 断 点 ， 就 可 以 非 常 清 楚 的 观 察 到 ： 这 里 e b x 就 是 s r v ! S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e 的 地 址 ，   e b x + 0 x 3 8 就 是 0 x e 项 的 函 数 指 针 。 e a x 为 替 换 后 的 后 门 函 数 地 址 。 3 .   双 脉 冲 星 后 门 功 能 分 析 双 脉 冲 星 后 门 功 能 分 析 根 据 上 面 的 分 析 ， 双 脉 冲 星 后 门 被 成 功 的 安 装 到 了 s r v ! S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e   的 0 x e 项 。 那 么 这 个 后 门 如 何 利 用 呢 ?   攻 击 者 只 需 要 构 造 S M B _ C O M _ T R A N S A C T I O N 2   请 求 ( 0 x 3 2 ) ， 并 指 定 S u b c o m m a n d   为 S E S S I O N _ S E T U P ( 0 x e ) 这 个 无 效 的 值 ， 这 时 ， S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e 的 0 x e 项 派 遣 函 数 ， 也 就 是 被 替 换 的 后 门 函 数 将 被 调 用 。 S M B   请 求 报 文 如 下 图 所 示
下 面 分 析 一 下 后 门 函 数 的 功 能 。 这 个 函 数 可 谓 整 个 双 脉 冲 星 后 门 的 精 华 所 在 ， 里 面 使 用 了 一 系 列 令 人 眼 花 缭 乱 的 技 巧 。 函 数 开 始 调 用 了 3 个 不 同 的 函 数 : s u b _ F F D F F 9 3 0 s u b _ F F D F F 8 9 F s u b _ F F D F 8 E 0 下 面 对 这 三 个 函 数 逐 一 进 行 分 析 先 看 第 一 个 函 数 s u b _ F F D F F 9 3 0 。
这 个 函 数 虽 然 代 码 非 常 简 单 ， 但 要 深 入 理 解 却 也 着 实 不 易 ， 主 要 是 一 些 用 到 的 数 据 结 构 并 没 有 公 开 ， 只 能 靠 大 量 的 逆 向 工 作 来 进 行 猜 测 。 该 函 数 的 参 数 是 传 给 S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e   中 D i s p a t c h 函 数 的 参 数 ， 参 数 类 型 没 有 公 开 ， 权 且 称 其 为 C O N T E X T 。 在 经 过 大 量 的 逆 向 分 析 后 ， 结 论 如 下 : C O N T E X T 的   某 个 偏 移 的 地 方 存 放 着 一 个 指 针 P t r   ( 进 一 步 的 深 入 分 析 发 现 ， 这 个 指 针 其 实 是 个 指 向 I R P 的 指 针 ， 应 该 就 是 S M B 请 求 的 I R P ) ， 这 个 指 针 的 值 正 好 是 C O N T E X T 的 起 始 地 址 + S i z e 。 所 以 只 需 从 C O N T E X T 的 起 始 地 址 开 始 步 长 为 4 字 节 递 增 搜 索 ， 就 可 以 找 到 这 个 指 针 。 如 下 图 所 示 。
找 到 这 个 地 址 后 ， 就 可 以 在 此 基 础 上 推 算 出   S M B 响 应 报 文 的 地 址 以 及 S M B 请 求 报 文 中 P a r a m e t e r 存 放 的 地 址 。 这 么 看 似 费 了 一 番 周 折 ， 但 主 要 目 的 是 为 了 避 免 对 于 不 同 平 台 需 要 对 S M B 响 应 和 S M B 请 求 报 文 的 P a r a m e t e r 在 结 构 中 的 偏 移 进 行 硬 编 码 。 S M B 相 应   报 文 的 起 始 地 址 存 放 在 e b p + 4 4 处 ， 而 S M B 请 求 报 文 的 P a r a m e t e r 则 存 放 在 e b p + 3 8 处 。 接 下 来 看 第 二 个 函 数   s u b _ F F D F F 8 9 F : 这 个 函 数 更 加 简 单 ， 用 来 初 始 化 会 话 用 的 密 钥 运 算 操 作 。 最 后 ， 看 第 三 个 函 数 ， 这 个 函 数 对 S M B   后 门 请 求 报 文 做 一 些 简 单 的 合 法 性 检 查 ， 其 中 又 使 用 了 一 些 技 巧 来 找 到 内 核 态 的 指 针 ， 来 验 证 指 针 的 有 效 性 。 其 次 ， 它 对   P a r a m e t e r C o u n t   和 T o t a l P a r a m e t e r C o u n t 值 进 行 检 测 ， 二 者 都 必 须 是 0 x c 。 这 个 函 数 的 存 在 ， 体 现 了 这 段 s h e l l c o d e 在 稳 定 性 方 面 做 了 一 些 周 全 的 考 虑 。 三 个 函 数 执 行 完 后 ， 调 用 了 F F D F F 8 8 B   这 个 函 数 ， 根 据 函 数 的 计 算 结 果 ， 会 跳 到 不 同 的 分 支 。 这 个 函 数 伪 代 码 如 下 ： 这 个 函 数 就 是 将 d w o r d 的 四 个 字 节 加 起 来 ,   结 果 转 化 成 一 个 字 节 。 那 么 它 的 输 入 是 什 么 呢 ， 经 调 试 分 析 ， 输 入 就 是 S M B 请 求 的   T i m e o u t   字 段 。 也 就 是 说 ， 后 门 函 数 将 S M B 的 T i m e o u t 请 求 字 段 解 码 ， 把 解 码 的 结 果 跟 0 x 2 3 , 0 x 7 7 , 0 x c 8 比 较 作 为 后 门 的 命 令 。 当 结 果 为 0 x 2 3 时 ， 后 门 函 数 用 来 检 查 后 门 是 否 已 经 安 装 ， 即 P I N G 命 令 。 当 结 果 为 0 x 7 7 时 ， 后 门 函 数 用 来 进 一 步 执 行 传 入 的 s h e l l c o d e 。 当 结 果 为 0 x c 8 时 ， 后 门 函 数 用 来 卸 载 后 门 。 下 面 看 一 个 具 体 的 例 子 :
这 个 请 求 中 T i m e o u t 的 值 为   9 3   8 9   0 7   0 0 :   0 x 9 3 + 0 x 8 9 + 0 x 0 7 + 0 0 =   0 x 1 2 3 , 取 最 后 一 个 字 节 ， 结 果 为 0 x 2 3 ， 根 据 上 面 的 分 析 ， 这 是 P I N G 命 令 。 在 处 理 P I N G   命 令 时 ， 我 们 看 到 ， 把 计 算 出 来 的 密 钥 放 在 了 S M B 响 应 报 文 的 S i g n a t u r e 中 ， 已 备 后 面 发 送 s h e l l c o d e 时 加 密 使 用 。 最 后 一 段 P I N G   命 令 处 理 代 码 : 这 里 会 根 据 不 同 的 状 态 将 响 应 报 文 的 M I D ( M u l t i p l e x   I D )   加 上 一 个 值 ( 正 常 情 况 下 ， 响 应 的 M I D 必 须 和 请 求 中 的 M I D 值 一 致 ) 。 M I D 增 量 值 具 体 含 义 见 下 表 : 下 图 是 一 个 P I N G 命 令 成 功 的 例 子 ， 请 求 ，
可 见 ， 请 求 中 的 M I D 为 6 6 ( 0 x 0 0 4 2 ) 响 应 ： 响 应 中 的 M I D 值 为 8 2 ( 0 x 0 0 5 2 ) 。 两 者 M I D 差 值 为 0 x 0 0 5 2 - 0 x 0 0 4 2   =   0 x 1 0 . 在 做 完 这 一 切 后 ， 将 控 制 跳 转 到 原 来 的 派 遣 函 数 ， 以 便 回 复 S M B 请 求 。 4 .   结 束 语 结 束 语 本 文 详 细 分 析 了 作 为 N S A 第 七 种 武 器 的 双 脉 冲 星 后 门 的 代 码 。 该 代 码 构 思 相 当 巧 妙 ， 隐 蔽 性 很 强 。 作 者 对 W i n d o w s   代 码 ,   尤 其 是 S M B 部 分 的 代 码 可 谓 相 当 熟 悉 。 整 个 S h e l l c o d e 考 虑 到 了 通 用 性 ， 稳 定 性 ， 犹 如 做 工 精 良 的 武 器 一 般 。 而 这 样 的 内 核 级 后 门 ， 对 入 侵 者 无 疑 是 敞 开 了 一 扇 大 门 ， 几 乎 可 以 为 所 欲 为 。 5 .   参 考 文 献 参 考 文 献 1 .   R o o t k i t s :   S u b v e r t i n g   t h e   W i n d o w s   K e r n e l . ( p p 9 4 - 9 5 ) 2 .   h t t p s : / / z e r o s u m 0 x 0 . b l o g s p o t . c o m . a u / 2 0 1 7 / 0 4 / d o u b l e p u l s a r - i n i t i a l - s m b - b a c k d o o r - r i n g . h t m l 3 .   h t t p : / / b l o g . c h e c k p o i n t . c o m / 2 0 1 7 / 0 5 / 2 5 / b r o k e r s - s h a d o w s - a n a l y z i n g - v u l n e r a b i l i t i e s - a t t a c k s - s p a w n e d - l e a k e d - n s a - h a c k i n g - t o o l s / * 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 载 请 注 明 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理