搜索

[14826] 2019-11-17_PowerShell静态分析（PartI）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-11-17_PowerShell静态分析（PartI） P o w e r S h e l l 静 态 分 析 （ P a r t   I ） K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 1 7 本 文 分 为 三 个 部 分 ， 主 要 介 绍 了 一 种 实 用 的 本 文 分 为 三 个 部 分 ， 主 要 介 绍 了 一 种 实 用 的 p o w e r s h e l l 脚 本 静 态 分 析 方 法 ， 并 基 于 独 立 于 平 台 脚 本 静 态 分 析 方 法 ， 并 基 于 独 立 于 平 台 p y t h o n 脚 本 来 执 脚 本 来 执 行 此 任 务 。 行 此 任 务 。 文 章 将 讨 论 行 为 分 析 方 法 ， 介 绍 在 p o w e r s h e l l 脚 本 中 隐 藏 数 据 的 常 见 混 淆 方 法 ， 以 及 如 何 构 建 一 个 评 分 系 统 来 评 估 脚 本 的 风 险 。 简 介 简 介 在 我 们 深 入 研 究 前 ， 需 要 搞 清 楚 研 究 的 目 的 。 首 先 ， 我 们 希 望 完 成 什 么 ？ 这 种 静 态 分 析 方 法 的 实 际 情 况 是 什 么 ？ 这 种 方 法 适 用 于 整 个 安 全 生 态 系 统 的 哪 个 部 分 ？ 我 们 如 何 更 好 地 了 解 利 用 它 ？ 在 这 里 简 要 介 绍 每 一 个 问 题 。 第 一 个 问 题 相 对 简 单 。 我 们 希 望 完 成 什 么 ？ 在 查 看 了 很 多 p o w e r s h e l l 脚 本 ， 在 任 何 时 间 都 有 数 千 个 文 件 需 要 评 估 和 分 析 风 险 。 手 动 检 查 它 们 是 非 常 耗 时 的 ， 根 据 经 验 ， 动 态 分 析 会 由 于 各 种 原 因 失 败 ， 无 法 产 生 准 确 的 结 果 。 因 此 希 望 找 到 一 种 方 法 ， 尽 可 能 多 地 自 动 化 那 些 重 复 繁 重 的 工 作 。 第 二 个 问 题 ， “ 这 种 做 法 的 实 际 情 况 如 何 ？ “ 。 当 你 想 到 静 态 分 析 和 动 态 分 析 时 ， 每 种 分 析 都 有 各 自 独 特 的 优 点 和 缺 点 。 有 些 人 可 能 会 说 一 种 分 析 比 另 一 种 分 析 好 ， 但 我 觉 得 两 者 都 同 样 重 要 且 互 补 。 深 入 研 究 p o w e r s h e l l 脚 本 时 ： 没 有 上 下 文 的 行 为 在 静 态 分 析 上 几 乎 毫 无 意 义 。 也 就 是 说 ， 非 恶 意 脚 本 和 恶 意 脚 本 经 常 表 现 出 相 同 的 行 为 和 功 能 ， 因 此 如 果 没 有 上 下 文 或 元 数 据 ， 很 难 从 表 面 上 看 出 它 们 的 意 图 。 最 后 ， 一 个 分 析 p o w e r s h e l l 脚 本 中 的 行 为 的 工 具 怎 样 适 合 安 全 生 态 系 统 。 因 为 每 个 人 都 有 独 特 的 需 求 和 资 源 ， 但 脚 本 分 析 是 对 现 有 能 力 的 增 强 ， 并 且 是 一 种 可 以 加 速 分 析 规 模 的 方 法 ， 这 样 就 可 以 将 时 间 花 在 构 建 防 御 上 。 接 下 来 开 始 深 入 探 讨 静 态 分 析 的 一 些 核 心 概 念 以 及 这 种 方 法 的 优 缺 点 。 在 在 p o w e r s h e l l 中 定 义 行 为 中 定 义 行 为 在 我 们 讨 论 设 计 和 概 念 之 前 ， 我 们 需 要 定 义 这 个 上 下 文 中 的 “ 行 为 ” ， p o w e r s h e l l 是 一 种 M i c r o s o f t 脚 本 语 言 ， p o w e r s h e l l 还 解 释 和 执 行 本 机 W i n d o w s 命 令 行 、 d o t n e t 代 码 。 例 如 ， p o w e r s h e l l 脚 本 中 的 以 下 三 行 都 会 产 生 相 同 的 输 出 ， 即 使 它 们 是 三 个 不 同 的 调 用 方 法 。 这 种 灵 活 性 使 得 分 析 变 得 更 加 困 难 ， 因 为 我 们 需 要 解 释 多 种 表 达 相 同 事 物 的 方 式 。 当 描 述 一 个 行 为 时 ， 不 一 定 是 任 何 命 令 或 命 令 的 变 体 。 举 例 来 说 ， “ g e t - d a t e ”   c m d l e t 可 能 会 是 “ 枚 举 ” 行 为 ， 因 为 它 正 在 检 索 运 行 脚 本 主 机 系 统 相 关 的 数 据 。 类 似 地 ， 也 可 以 将 d o t n e t 类 “ n e w   o b j e c t   s y s t e m . n e t . w e b c l i e n t . d o w n l o a d f i l e ” 分 组 为 “ d o w n l o a d e r ” 行 为 ， 因 为 它 将 用 于 远 程 检 索 文 件 。 动 态 与 静 态 分 析 动 态 与 静 态 分 析 脚 本 行 为 需 要 明 确 识 别 ， 但 有 时 它 们 还 不 足 以 确 定 脚 本 是 良 性 的 还 是 恶 意 的 。 这 些 行 为 如 何 利 用 是 决 定 的 关 键 因 素 。 那 么 我 们 如 何 推 断 意 图 呢 ？ 下 面 两 个 示 例 ， 它 们 在 表 面 上 看 起 来 很 相 似 ， 并 且 表 现 出 相 同 的 以 下 行 为 ： “ d o w n l o a d e r ” 、 “ s l e e p s ” 、 “ e n u m e r a t i o n ” 和 “ o n e   l i n e r ” 。 G e t - D a t e   #   P o w e r S h e l l   c m d l e t d a t e   #   C o m m a n d - l i n e   n a t i v e   W i n d o w s   a p p l i c a t i o n [ S y s t e m . D a t e T i m e ] : : N o w   #   d o t N E T
在 动 态 恶 意 软 件 分 析 进 入 视 野 之 前 ， 静 态 查 看 文 件 是 确 定 样 本 是 否 存 在 恶 意 行 为 的 主 要 方 法 。 随 着 时 间 的 推 移 和 动 态 分 析 的 发 展 ， 越 来 越 多 的 行 业 转 向 工 具 环 境 、 产 品 和 防 御 响 应 策 略 ， 围 绕 恶 意 文 件 的 动 态 特 性 而 不 是 静 态 属 性 。 动 态 分 析 提 供 了 大 量 的 信 息 ， 在 这 个 过 程 中 投 入 的 资 源 、 技 术 和 时 间 大 大 减 少 ， 因 此 行 为 分 析 成 为 主 导 力 量 。 如 果 一 个 p o w e r s h e l l 脚 本 ， 该 脚 本 下 载 并 执 行 另 一 个 脚 本 ， 枚 举 系 统 信 息 ， 使 用 压 缩 和 大 量 b a s e 6 4 ， 分 析 人 员 第 一 个 想 法 可 能 是 它 是 恶 意 的 ， 因 为 这 些 是 动 态 分 析 恶 意 软 件 的 日 常 行 为 。 但 在 下 图 示 例 中 ， 它 只 是 一 个 p o w e r s h e l l 脚 本 ， 用 于 显 示 动 画 。 确 定 意 图 确 定 意 图 为 了 确 定 意 图 ， 需 要 建 立 一 个 “ 基 本 事 实 ” ， 并 对 脚 本 进 行 评 分 。 为 此 ， 需 要 手 动 分 析 现 实 环 境 中 的 数 千 个 良 性 和 恶 意 p o w e r s h e l l 脚 本 ， 分 别 标 记 它 们 良 性 或 恶 意 。 当 一 个 已 知 的 恶 意 脚 本 低 于 设 定 的 阈 值 时 ， 需 要 把 精 力 集 中 在 提 高 其 余 样 本 的 准 确 性 上 。 手 动 分 类 的 过 程 可 以 接 触 到 所 有 可 以 想 象 到 的 脚 本 — — 各 种 各 样 的 管 理 脚 本 和 引 导 脚 本 。 在 对 样 本 集 进 行 分 类 之 后 ， 能 够 更 加 完 美 地 解 决 意 图 问 题 。 在 查 看 脚 本 并 开 始 分 析 行 为 的 过 程 中 ， 还 需 要 考 虑 行 为 的 权 重 以 及 它 和 脚 本 的 总 体 意 图 的 关 系 。
例 如 ， 只 下 载 和 执 行 可 执 行 文 件 的 脚 本 与 相 同 行 为 但 使 用 模 糊 处 理 且 完 全 包 含 在 一 行 的 脚 本 相 比 ， 当 它 同 时 生 成 日 志 或 代 码 结 构 良 好 时 ， 就 不 太 可 能 是 恶 意 的 。 类 似 地 ， 一 旦 一 个 行 为 被 识 别 出 来 ， 就 可 以 观 察 它 在 良 性 和 恶 意 脚 本 中 的 分 布 。 还 需 要 观 察 脚 本 中 某 些 “ 罕 见 性 ” 行 为 ， 并 相 应 地 调 整 评 分 权 重 。 识 别 重 要 的 行 为 并 找 出 如 何 对 它 们 进 行 适 当 的 评 分 是 这 个 分 析 的 核 心 。 一 旦 行 为 被 创 建 并 分 配 分 数 ， 就 可 以 创 建 一 个 风 险 梯 度 标 度 ， 我 们 可 以 将 每 个 样 本 映 射 到 其 中 ， 并 找 到 一 个 “ 最 佳 点 ” ， 开 始 进 行 更 精 细 的 调 整 。 下 面 一 个 图 表 描 述 了 p o w e r s h e l l 脚 本 中 用 作 静 态 评 分 风 险 的 准 则 等 级 。 将 恶 意 脚 本 的 得 分 设 定 在 6 . 0 左 右 ， 低 于 这 个 临 界 值 ， 风 险 会 降 低 。 需 要 考 虑 的 事 情 需 要 考 虑 的 事 情 最 后 ， 需 要 考 虑 以 下 几 点 ： P o w e r S h e l l 是 一 种 非 常 灵 活 的 语 言 。 它 提 供 了 多 种 方 法 来 调 用 相 同 的 功 能 ， 最 终 无 法 静 态 地 捕 获 所 有 内 容 ， 特 别 是 在 恶 意 脚 本 作 者 试 图 规 避 检 测 的 情 况 下 。 有 时 会 错 过 一 些 识 别 行 为 指 标 ， 在 这 些 情 况 下 ， 策 略 上 选 择 了 谨 慎 处 理 ， 允 许 这 些 恶 意 脚 本 得 分 低 于 阈 值 ， 而 不 是 过 分 重 视 某 些 行 为 导 致 良 性 脚 本 得 分 过 高 。 在 分 析 过 程 中 的 另 一 个 现 象 是 良 性 脚 本 通 常 是 独 立 的 ， 因 为 它 们 是 完 全 独 立 的 ， 可 以 在 没 有 参 数 或 依 赖 关 系 的 情 况 下 运 行 ； 恶 意 脚 本 通 常 是 一 个 大 的 难 题 中 的 一 小 部 分 ， 在 拼 图 中 占 有 较 小 的 一 块 。 无 论 在 尝 试 构 建 行 为 时 脚 本 行 为 有 多 大 或 多 小 ， 当 仅 基 于 函 数 的 行 为 失 败 时 ， 我 仍 然 可 以 使 用 上 下 文 （ “ i n v o k e d l l i n j e c t i o n ” ） 关 键 字 或 元 数 据 （ 如 字 符 频 率 分 析 ） 作 为 自 己 的 行 为 模 型 来 影 响 评 分 。 此 外 还 需 要 考 虑 隐 藏 行 为 。 因 此 ， 如 果 可 以 清 楚 地 看 到 脚 本 内 容 中 的 恶 意 u r l ， 但 无 法 识 别 它 是 如 何 从 u r l 下 载 负 载 的 ， 那 么 仍 然 可 以 推 断 该 脚 本 有 一 个 未 知 的 下 载 行 为 。 这 些 推 断 的 行 为 对 于 进 一 步 的 搜 索 和 分 析 是 一 个 很 好 的 基 础 。 总 结 总 结
简 要 回 顾 上 面 介 绍 的 一 些 概 念 和 想 法 。 P o w e r S h e l l 是 一 种 极 其 丰 富 的 脚 本 语 言 ， P o w e r S h e l l 中 的 行 为 不 限 于 单 个 或 简 单 函 数 调 用 ， 需 要 灵 活 地 识 别 它 们 。 因 此 ， 要 分 析 行 为 ， 我 们 需 要 对 内 容 进 行 去 模 糊 、 分 解 和 规 范 化 ， 以 便 我 们 可 以 将 类 似 的 概 念 和 从 动 态 分 析 中 应 用 到 静 态 分 析 中 。 当 静 态 分 析 p o w e r s h e l l 脚 本 时 ， 应 思 考 如 何 根 据 上 下 文 提 示 和 加 权 评 分 来 确 定 行 为 的 意 图 。 在 下 一 篇 文 章 中 ， 将 从 一 个 更 技 术 的 角 度 切 入 ， 开 始 研 究 常 见 的 混 淆 技 术 和 方 法 ， 以 便 在 p o w e r s h e l l 中 发 现 隐 藏 数 据 。 此 外 ， 将 介 绍 在 分 析 脚 本 中 观 察 到 的 行 为 ， 以 及 它 们 如 何 影 响 脚 本 的 总 体 评 分 。 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理