搜索

[14649] 2019-10-01_PowerShell若干问题的研究

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-10-01_PowerShell若干问题的研究 P o w e r S h e l l 若 干 问 题 的 研 究 D i g A p i s   F r e e B u f   2 0 1 9 - 1 0 - 0 1 一 、 一 、 P o w e r S h e l l 简 介 简 介 P o w e r S h e l l 是 一 种 基 于 任 务 的 命 令 行 s h e l l 和 脚 本 语 言 ， 构 建 于 . N E T 之 上 ， 通 常 用 于 管 理 基 于 M i c r o s o f t   W i n d o w s 的 操 作 系 统 的 技 术 （ L i n u x 和 M a c O S 也 可 以 使 用 ） 。 W i n d o w s   P o w e r S h e l l 的 内 置 命 令 为 c m d l e t s ， 用 户 可 以 使 用 其 管 理 计 算 机 ， 其 具 有 完 整 的 用 户 开 发 的 脚 本 语 言 和 丰 富 的 表 达 式 解 析 程 序 。 二 、 攻 击 者 使 用 二 、 攻 击 者 使 用 P o w e r s h e l l 的 原 因 的 原 因 P o w e r s h e l l 深 受 攻 击 者 的 喜 爱 ， 许 多 目 标 攻 击 在 攻 击 链 中 使 用 了 P o w e r S h e l l ， 使 用 其 作 为 下 载 器 。 本 文 在 阅 读 了 大 量 相 关 文 献 的 基 础 上 ， 对 攻 击 者 乐 于 使 用 P o w e r s h e l l 的 原 因 进 行 了 总 结 ， 如 下 ： 1 . 普 适 性 强 ： P o w e r S h e l l 默 认 安 装 在 W i n d o w s 机 器 上 （ 从 W i n d o w s   7   S P 1 开 始 ， 操 作 系 统 默 认 安 装 ） ； 2 . 易 用 性 好 ： P o w e r S h e l l 代 码 易 于 动 态 生 成 ； 同 时 ， 可 以 很 容 易 地 嵌 入 恶 意 软 件 向 量 中 ， 例 如 O f f i c e 文 档 （ 通 过 使 用 宏 ） ； 3 . 多 功 能 性 ： 可 以 对 操 作 系 统 主 要 功 能 进 行 访 问 ； 4 .   隐 秘 性 强 ： （ 1 ） 几 乎 没 有 留 下 可 以 追 踪 的 痕 迹 ， 框 架 可 以 直 接 从 内 存 中 执 行 有 效 负 载 ； （ 2 ） 缺 乏 日 志 记 录 ， P o w e r S h e l l 日 志 默 认 不 能 使 用 ， 通 常 不 会 在 计 算 机 上 启 动 监 视 或 扩 展 记 录 。 许 多 后 台 操 作 不 可 见 ， 恶 意 脚 本 代 码 易 于 远 程 传 播 ； （ 3 ） 易 于 混 淆 ： 自 动 化 的 工 具 可 以 大 量 反 复 地 混 淆 P o w e r S h e l l 代 码 ， 使 静 态 分 析 变 得 不 可 行 ； （ 4 ） 可 绕 过 应 用 程 序 白 名 单 ； （ 5 ） 管 理 员 信 任 ， 使 得 P o w e r S h e l l 恶 意 软 件 与 日 常 管 理 融 为 一 体 。 三 、 三 、 P o w e r S h e l l 检 测 方 法 检 测 方 法 由 于 P o w e r S h e l l 的 极 易 被 混 淆 ， 我 们 在 文 献 [ 1 ] 中 发 现 了 P o w e r D r i v e ， 一 个 自 动 开 源 系 统 ， 用 于 对 P o w e r S h e l l 恶 意 文 件 进 行 去 混 淆 和 分 析 。 通 过 对 数 千 个 恶 意 代 码 的 分 析 ， 获 得 了 一 些 有 趣 的 见 解 ， 例 如 ： P o w e r S h e l l 使 用 的 混 淆 处 理 方 法 的 统 计 特 征 规 律 。 此 外 ， P o w e r D r i v e 可 以 通 过 多 层 递 归 对 P o w e r S h e l l 脚 本 进 行 去 混 淆 处 理 。 文 中 提 供 了 P o w e r D r i v e 源 码 ， 并 证 明 其 去 混 淆 效 果 优 异 ， 但 所 使 用 的 数 据 集 链 接 已 失 效 。 P o w e r D r i v e 可 以 与 其 他 系 统 集 成 ， 提 供 有 关 P o w e r S h e l l 恶 意 软 件 功 能 的 其 他 信 息 。 同 时 ， 在 使 用 机 器 学 习 检 测 方 面 ， 在 文 献 [ 2 ] 中 ， 作 者 选 择 了 6 6 3 8 8 个 不 同 的 P o w e r S h e l l 命 令 ， 其 中 6 2 9 0 个 标 记 为 恶 意 ， 6 0 0 9 8 个 标 记 为 良 性 。 使 用 部 分 数 据 集 进 行 训 练 ， 部 分 进 行 验 证 。 实 施 了 三 种 深 度 学 习 模 型 ， 结 果 得 出 结 合 N L P - b a s e d   c l a s s i f i e r 和 C N N - b a s e d   c l a s s i f i e r 表 现 出 了 更 好 的 性 能 。 有 些 混 淆 模 式 用 N L P - b a s e d 无 法 检 测 出 来 。 四 、 四 、 P o w e r s h e l l 漏 洞 利 用 代 理 工 具 漏 洞 利 用 代 理 工 具 E m p i r e 最 大 的 特 点 是 以 P o w e r S h e l l 脚 本 作 为 攻 击 载 荷 ， 而 且 E m p i r e 实 现 了 无 需 p o w e r s h e l l . e x e 就 可 运 行 P o w e r S h e l l 代 理 功 能 。 具 体 E m p i r e 平 台 的 搭 建 文 档 见 链 接 [ 3 ] ， 网 上 已 有 很 多 实 验 报 告 ， 这 里 对 简 单 的 安 装 不 做 赘 述 ， 仅 对 未 提 到
的 “ 坑 ” 及 注 意 点 进 行 整 理 如 下 ： 1 . 在 E m p i r e 安 装 的 过 程 中 ， 需 使 用 r o o t 账 户 进 行 实 验 。 2 . 在 执 行 完 毕 安 装 过 程 输 入 . / e m p i r e 启 动 E m p i r e 时 ， 查 看 是 否 可 以 成 功 进 入 。 遇 到 问 题 ： 输 入 . / e m p i r e 启 动 E m p i r e 报 错 ， 缺 少 O p e n S S L 解 决 方 法 ： 使 用 p i p   i n s t a l l 命 令 进 行 安 装 ， 发 现 p i p 报 错 ， 重 新 安 装 了 p i p 本 以 为 已 经 可 以 了 ， 结 果 运 行 . / e m p i r e 继 续 报 错 。 遇 到 问 题 ： 遇 到 了 很 多 次 I m p o r t   E r r o r :   N o   m o d u l e   n a m e d   x x   问 题 解 决 方 法 ： s u d o   p i p   i n s t a l l   x x ， 最 终 终 于 安 装 好 了 。 3 . 在 建 立 监 听 过 程 中 ， 需 要 使 用 E m p i r e 所 在 主 机 的 i p 作 为 H o s t 地 址 。 五 、 宏 与 五 、 宏 与 p o w e r s h e l l 结 合 结 合 P o w e r S h e l l 还 可 用 于 A P T 攻 击 中 。 例 如 ， 在 污 水 攻 击 中 ， 利 用 了 宏 与 P o w e r S h e l l 构 建 了 A P T 攻 击 ， 具 体 过 程 如 下 ： （ 1 ） 使 用 精 心 构 造 的 钓 鱼 文 档 ， 诱 使 目 标 人 员 打 开 文 档 启 用 宏 ； （ 2 ） 文 档 宏 执 行 后 ， 向 文 件 系 统 写 入 脚 本 及 编 码 过 的 P o w e r S h e l l 文 件 ； （ 3 ） 加 载 脚 本 ， 解 码 P o w e r S h e l l 文 件 执 行 ， 与 C & C 进 行 通 信 。 我 们 以 一 个 简 单 的 例 子 对 宏 代 码 进 行 分 析 （ 样 本 文 件 附 后 [ 3 ] ） ， 这 里 启 用 宏 后 使 用 w o r d 中 的 开 发 功 能 V B A 进 行 对 宏 代 码 的 读 取 （ 也 可 使 用 o l e d u m p . p y 对 宏 代 码 进 行 提 取 ） 。 若 工 程 已 被 加 密 ， 请 参 考 文 章 [ 4 ] , 其 中 提 供 了 可 解 密 工 具 V B A   P a s s w o r d   B y p a s s e r ， 可 解 密 多 数 工 程 。 （ 一 ） 代 码 逐 句 解 析 （ 一 ） 代 码 逐 句 解 析 第 一 部 分 第 一 部 分 , 可 以 理 解 为 日 志 上 传 过 程 ： 可 以 理 解 为 日 志 上 传 过 程 ： s u d o   a p t - g e t   r e m o v e   p y t h o n - p i p s u d o   a p t - g e t   a u t o r e m o v e s u d o   i n s t a l l   p i p s u d o   p i p   i n s t a l l   p y o p e n s s
第 二 部 分 ， 可 以 理 解 为 文 档 与 模 板 相 互 感 染 的 过 程 ： 第 二 部 分 ， 可 以 理 解 为 文 档 与 模 板 相 互 感 染 的 过 程 ： （ 二 ） 代 码 逻 辑 关 系 梳 理 （ 二 ） 代 码 逻 辑 关 系 梳 理 第 一 部 分 ， 日 志 上 传 过 程 ： 第 一 部 分 ， 日 志 上 传 过 程 ： 1 . 在 日 期 为 1 号 并 且 注 册 表 中 L o g F i l e 的 值 为 F a l s e 时 （ 日 志 文 件 没 有 上 传 到 服 务 器 的 时 候 ） ， 若 在 文 档 / 模 板 宏 代 码 中 找 到 标 记 M a r k e r （ M a r k e r 即 为 感 染 标 识 ） ， 则 截 取 当 前 文 档 / 模 板 从 “ L o g F i l e — > ” 开 始 的 内 容 即 为 日 志 文 件 内 容 ， 存 入 L o g F l i e 路 径 所 在 的 文 件 中 。
2 . c : n e t l d x . v x d 为 f t p 的 配 置 文 件 ， 其 中 内 容 为 登 录 服 务 2 0 9 . 2 0 1 . 8 8 . 1 1 0 ， 并 将 日 志 文 件 传 到 服 务 器 上 。 3 . 注 册 表 中 L o g F i l e 的 值 设 置 为 T r u e ， 表 示 已 上 传 。 第 二 部 分 ， 文 档 与 模 板 相 互 感 染 的 过 程 ： 第 二 部 分 ， 文 档 与 模 板 相 互 感 染 的 过 程 ： 文 档 或 模 板 有 且 仅 有 一 个 被 感 染 时 ， 即 可 以 实 现 互 相 感 染 。 文 档 感 染 模 板 ： 1 . 若 当 前 文 档 的 宏 代 码 中 有 M a r k e r 标 识 ， 则 当 前 文 档 被 感 染 。 2 . 文 档 的 宏 代 码 拼 接 当 前 时 间 、 日 期 、 用 户 名 、 用 户 地 址 等 信 息 存 入 模 板 宏 代 码 中 ， 模 板 被 感 染 。 模 板 感 染 文 档 ： 1 . 若 当 前 模 板 的 宏 代 码 中 有 M a r k e r 标 识 ， 则 当 前 模 板 被 感 染 。 2 . 将 模 板 的 宏 代 码 放 入 文 档 的 宏 代 码 中 ， 文 档 被 感 染 。 （ 三 ） 思 考 （ 三 ） 思 考 1 . 整 个 感 染 过 程 应 该 是 以 一 个 被 感 染 的 文 档 为 源 头 ， 当 文 档 传 播 到 用 户 时 ， 该 用 户 的 模 板 的 宏 代 码 即 被 替 换 为 被 感 染 文 档 的 宏 代 码 。 该 用 户 再 用 模 板 创 建 w o r d 时 候 ， 此 时 模 板 来 感 染 文 档 ， 将 文 档 的 宏 代 码 替 换 为 模 板 的 宏 代 码 ， 此 时 文 档 被 感 染 。 2 . 当 文 档 的 宏 感 染 模 板 时 ， 加 上 了 时 间 、 日 期 、 用 户 名 、 地 址 等 内 容 在 代 码 的 最 后 。 在 看 该 被 模 板 的 宏 代 码 时 候 ， 代 码 最 后 表 示 是 哪 个 用 户 感 染 给 模 板 的 。 当 模 板 生 成 新 的 文 档 时 ， 新 的 文 档 也 感 染 了 此 宏 ， 后 面 带 的 依 旧 是 模 板 的 代 码 ， 可 以 说 明 该 宏 病 毒 的 来 源 还 是 之 前 的 用 户 。 当 被 感 染 的 新 文 档 开 始 感 染 其 它 模 板 时 ， 又 要 带 上 自 己 的 信 息 ， 以 此 类 推 。 这 样 代 码 最 后 为 宏 病 毒 传 播 源 头 的 每 个 用 户 ， 也 代 表 此 用 户 中 了 宏 病 毒 ， 同 时 服 务 器 也 知 道 了 其 邮 件 地 址 以 便 敲 诈 之 类 的 活 动 。 3 . 每 到 1 号 并 且 此 终 端 没 有 向 服 务 器 传 过 日 志 文 件 的 时 候 ， 程 序 即 启 动 ， 把 感 染 情 况 及 用 户 信 息 传 送 至 服 务 器 。 这 里 为 宏 病 毒 的 特 性 ， 在 w o r d 广 泛 使 用 的 情 况 下 ， 可 以 利 用 宏 进 行 传 播 ， 结 合 P o w e r s h e l l 与 C & C 通 信 ， 造 成 大 规 模 的 影 响 。 六 、 总 结 六 、 总 结 由 于 P o w e r S h e l l 的 种 种 特 点 ， 使 得 其 成 为 攻 击 者 的 利 器 。 如 若 配 合 宏 ， 利 用 其 普 适 性 ， 可 使 得 病 毒 传 染 效 果 显 著 增 强 。 在 防 御 方 面 ， 我 们 可 以 选 择 扩 展 日 志 记 录 等 方 式 进 行 防 御 追 踪 。 同 时 ， 也 可 允 许 P o w e r S h e l l 对 其 流 量 信 息 进 行 检 测 ， 包 括 其 心 跳 、 包 的 大 小 、 包 的 时 间 等 ， 来 判 断 其 流 量 异 常 的 统 计 特 征 。 参 考 文 献 ： 参 考 文 献 ： [ 1 ]   U g a r t e D ,   M a i o r c a   D ,   C a r a   F ,   e t   a l .   P o w e r D r i v e :   A c c u r a t e   D e - O b f u s c a t i o n   a n d   A n a l y s i s o f   P o w e r S h e l l M a l w a r e [ J ] .   2 0 1 9 . [ 2 ]   H e n d l e r D   ,   K e l s   S   ,   R u b i n   A   .   D e t e c t i n g   M a l i c i o u s   P o w e r S h e l l   C o m m a n d s   u s i n g   D e e p N e u r a l N e t w o r k s [ J ] .   2 0 1 8 .
[ 3 ] h t t p s : / / g i t h u b . c o m / J a r v a n 2 1 0 / p o w e r s h e l l a b [ 4 ] h t t p s : / / b b s . i c h u n q i u . c o m / t h r e a d - 3 5 1 6 4 - 1 - 1 . h t m l ? f r o m = b e e f * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： B U P T / J a r v a n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理