搜索

[26691] 2021-01-28_绕过3环的shellcode框架内附x86版本SysWhispers

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2021-01-28_绕过3环的shellcode框架内附x86版本SysWhispers 绕 过 3 环 的 s h e l l c o d e 框 架 内 附 x 8 6 版 本 S y s W h i s p e r s 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 1 - 2 8 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 绕 过 3 环 的 s h e l l c o d e 框 架 内 附 x 8 6 版 本 S y s W h i s p e r s 1 概 述 概 述 之 前 分 析 C S 4 的 s t a g e 时 ， 有 老 哥 让 我 写 下 C S 免 杀 上 线 方 面 知 识 ， 遂 介 绍 之 前 所 写 s h e l l c o d e 框 架 ， 该 框 架 的 s h e l l c o d e 执 行 部 分 利 用 系 统 特 性 和 直 接 系 统 调 用 （ D i r e c t   S y s t e m   C a l l ） 执 行 ， 得 以 免 杀 主 流 杀 软 （ 火 绒 、 3 6 0 全 部 产 品 、 毒 霸 等 ） , 该 方 式 也 是 主 流 绕 过 3 环 A V 、 E D R 、 沙 箱 的 常 用 手 段 。 P s : 感 谢 邪 八 M o r i a r t y 的 分 享 课 。 2 简 简 要 要 介 绍 介 绍 该 框 架 主 要 由 四 个 项 目 组 成 ： G e n e r a t e S h e l l C o d e ： 负 责 生 成 相 关 功 能 的 s h e l l c o d e 。 E n c r y p t S h e l l C o d e ： 负 责 以 A E S 1 2 8 加 密 所 将 执 行 的 s h e l l c o d e 。   F u n c t i o n H a s h ： 负 责 计 算 s h e l l 中 所 用 到 函 数 的 h a s h 值 。   X S h e l l C o d e L o a d e r ： 负 责 执 行 加 密 后 的 s h e l l c o d e 。 2 . 1   G e n e r a t e S h e l l C o d e 写 s h e l l c o d e 有 几 个 原 则 ： 不 能 有 全 局 变 量 、 不 能 调 用 系 统 函 数 、 不 能 嵌 套 调 用 函 数 。 下 面 以 简 单 弹 窗 m e s s a g e b o x 生 成 的 s h e l l c o d e 作 介 绍 ， 先 看 定 义 的 入 口 函 数 M y E n t r y ( ) ， 里 面 定 义 了 G e t P r o c A d d r ( ) 、 L o a d L i b a r y A ( ) 和 M e s s a g e B o x A ( ) 三 个 函 数 对 应 的 h a s h ， 然 后 通 过 M y G e t P r o c A d d r e s s ( ) 传 入 h a s h 值 和 k e r n e l 3 2 基 址 返 回 相 关 函 数 地 址 再 进 行 调 用 。 自 定 义 函 数 入 口 需 在 项 目 属 性 - > 链 接 器 - > 入 口 点 中 进 行 设 置 ：
通 过 G e t K e r n e l 3 2 B a s e ( ) 函 数 获 得 k e r n e l 3 2 基 址 ： 作 比 较 ： 通 过 M y G e t P r o c A d d r e s s ( ) 函 数 传 入 h a s h 值 找 出 对 应 的 函 数 名 ， 函 数 内 容 就 是 解 析 k e r n e l 3 2 的 导 出 表 ， 遍 历 每 个 函 数 并 计 算 出 相 应 h a s h 并 与 传 入 的 h a s h 作 比 较 ： G e t P r o c H a s h ( ) 把 函 数 名 转 为 相 应 的 h a s h :
R e l e a s e   x 8 6 模 式 生 成 后 e x e 程 序 后 ， 0 1 0 e d i t o r 打 开 找 到 . t e x t 代 码 段 ， 将 其 抠 出 后 得 到 s h e l l c o d e ： 2 . 2 、 、 E n c r y p t S h e l l C o d e   首 先 打 开 已 经 抠 出 的 s h e l l c o d e 文 件 ， 并 将 器 读 入 内 存 ：
A E S 循 环 加 密 0 x 1 0 个 字 节 A E S 加 密 的 实 现 是 W j C r y p t L i b _ A e s 开 源 项 目 : 加 密 后 保 存 到 新 文 件 ： 2 . 3 、 、 F u n c t i o n H a s h 这 个 比 较 简 单 ， 计 算 所 需 要 用 到 函 数 的 h a s h 值 ： 2 . 4 、 、 X S h e l l C o d e L o a d e r 下 面 着 重 介 绍 下 s h e l l c o d e 的 执 行 实 现 ， 因 为 x 8 6 、 x 6 4 进 0 环 进 3 环 的 方 式 不 同 ， 在 这 里 简 单 介 绍 下 不 同 版 本 3 环 进 0 环 的 方 式 ： 一 、 3 2 位 的 程 序 在 3 2 位 系 统 上 运 行 有 两 种 方 式 进 0 环 ， 第 一 个 是 中 断 门 i n t   0 2 E h ， 第 二 种 是 s y s e n t e r 二 、 3 2 位 的 程 序 在 6 4 位 系 统 上 运 行 ， 通 过 F a s t S y s t e m C a l l 进 0 环 三 、 6 4 位 的 程 序 在 6 4 位 系 统 上 运 行 ， 通 过 s y s c a l l 进 0 环 这 里 用 v s 的 R e l e a s e   x 8 6 来 进 行 编 译 ， 所 生 成 的 3 2 位 e x e 程 序 在 3 2 位 系 统 运 行 使 用 s y s e n t e r 进 0 环 ， 在 6 4 位 系 统 则 使 用 F a s t S y s t e m C a l l 进 0 环 。 下 面 我 们 先 以 3 2 位 程 序 运 行 在 3 2 位 系 统 的 s y s e n t e r 进 行 讲 解 ： 首 先 自 定 义 一 个 区 段 ， 该 区 段 的 属 性 最 好 只 为 r e a d ， 一 定 不 要 r e a d 、 w r i t e 、 e x e c u t e 全 上 ， 这 种 全 属 性 在 内 存 中 会 显 得 很 可 疑 ， 区 段 名 最 好 为 系 统 常 用 的 而 这 个 程 序 又 没 用 到 的 ， 如 . e d a t a ， 因 为 3 6 0 杀 毒 可 能 会 对 不 常 见 的 区 段 名 报 毒 ， 另 外 不 建 议 使 用 # p r a g m a s e c t i o n ( " . e d a t a " , r e a d , e x e c u t e , n o p a g e )   该 方 式 定 义 区 段 名 ， 因 为 该 方 式 生 成 的 区 段 会 出 现 在 程 序 中 所 有 区 段 的 最 前 面 ， 3 6 0 杀 毒 报 毒 ， 特 征 较 明 显 。 使 用 以 下 方 式 去 定 义 区 段 ， 区 段 的 内 容 为 已 A E S 加 密 的 s h e l l c o d e ：
然 后 通 过 遍 历 自 身 程 序 的 区 段 查 找 出 自 定 义 的 区 段 ： 接 着 调 用 N t P r o t e c t V i r t u a l M e m o r y ( ) 修 改 自 定 义 区 段 的 属 性 为 可 读 可 写 ， 即 r e a d w r i t e ， 而 N t P r o t e c t V i r t u a l M e m o r y ( ) 是 由 汇 编 所 写 的 直 接 系 统 调 用 ： 解 析 上 述 汇 编 ， 首 先 把 0 0 1 9 1 1 B 1 3 h 这 个 对 应 N t P r o t e c t V i r t u a l M e m o r y 函 数 名 的 h a s h 值 压 栈 ， 然 后 调 用 S W 2 _ G e t S y s c a l l N u m b e r 函 数 （ 后 面 解 析 s y s w h i e r 框 架 时 会 提 及 ） ， 该 函 数 会 返 回 N t P r o t e c t V i r t u a l M e m o r y 对 应 的 系 统 调 用 号 ， m o v   e c x ， 5 h 是 把 函 数 个 数 赋 值 给 e c x ， 再 把 N t P r o t e c t V i r t u a l M e m o r y ( ) 函 数 所 传 入 的 参 数 相 继 压 栈 ， 然 后 调 用 s y s e n t e r 。 接 着 循 环 把 自 定 义 区 段 解 密 出 来 ：
把 自 定 义 区 段 的 属 性 还 原 到 r e a d 、 e x e c u t e ： 执 行 s h e l l c o d e ： 再 来 看 看 3 2 位 程 序 运 行 在 6 4 位 系 统 的 K i F a s t S y s t e m C a l l ， 其 主 要 区 别 只 在 于 汇 编 部 分 ： C a l l   i n t e r n a l _ c l e a n c a l l _ w o w 6 4 _ g a t e , i n t e r n a l _ c l e a n c a l l _ w o w 6 4 _ g a t e 的 值 为 _ _ r e a d f s d w o r d ( 0 x C 0 ) ， 即 F S [ 0 x C 0 ]     W O W 3 2 R e s e r v e d 3 执 执 行 行 效 果 效 果 3 . 1 、 实 验 环 境 ： 、 实 验 环 境 ： T e a m   s e r v e r :   K a l i   2 0 2 0   i p :   1 9 2 . 1 6 8 . 2 0 2 . 1 3 1 控 制 端 ： w i n 7   3 2 位   i p : 1 9 2 . 1 6 8 . 2 0 2 . 1 3 4 受 控 端 1 ： w i n   7   3 2 位   i p :   1 9 2 . 1 6 8 . 2 0 2 . 1 4 0 受 控 端 2 ： w i n 1 0   1 9 0 7 位   i p :   1 9 2 . 1 6 8 . 2 0 2 . 1 3 . 2 、 、 3 2 位 系 统 执 行 位 系 统 执 行 火 绒 版 本 号 ：
静 态 查 杀 ， 未 发 现 风 险 ： 3 6 0 安 全 管 家 及 3 6 0 杀 毒 版 本 号 ：
静 态 查 杀 ， 未 发 现 风 险 ：
执 行 均 未 拦 截 ， 运 行 上 线 ： 卡 巴 斯 基 ， 静 态 扫 描 未 发 现 风 险 ： 执 行 时 则 被 查 杀 ： 原 因 是 s t a g e 执 行 下 载 后 的 B e a c o n . d l l 在 内 存 中 反 射 调 用 时 被 卡 巴 斯 基 规 则 检 测 到 ， 也 有 相 应 的 解 决 办 法 ， 等 下 篇 文 章 魔 改 c o b a l t   s t r i k e 再 来 相 应 解 决 。 3 . 3 、 、 6 4 位 系 统 执 行 位 系 统 执 行 同 样 成 功 执 行 并 上 线 （ 测 试 过 程 同 上 ）
附 上 框 架 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / S h e l l C o d e F r a m e w o r k 4 S y s W h i s p e r s 2 项 项 目 简 介 目 简 介 该 项 目 较 为 简 单 ， 主 要 方 法 有 三 个 ： 一 、 一 、 S W 2 _ H a s h S y s c a l l ( ) 该 方 法 是 计 算 传 入 的 函 数 名 的 h a s h 值 。 二 、 二 、 S W 2 _ P o p u l a t e S y s c a l l L i s t ( ) 该 函 数 中 首 先 找 到 n t d l l 的 基 址 ： 遍 历 n t d l l . d l l 的 导 出 函 数 ， 并 将 其 函 数 名 对 应 的 h a s h 值 和 函 数 地 址 保 存 在 S W 2 _ S Y S C A L L _ E N T R Y 结 构 体 中 ： 将 S W 2 _ S Y S C A L L _ E N T R Y 的 列 表 按 照 函 数 地 址 进 行 从 小 到 大 冒 泡 排 序 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理