搜索

[446] 2014-12-21_Scanbox源码分析与演示

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2014-12-21_Scanbox源码分析与演示 S c a n b o x 源 码 分 析 与 演 示 A r k T e a m   2 0 1 4 - 1 2 - 2 1 背 景 背 景 “ S c a n B o x   i s p a r t i c u l a r l y   d a n g e r o u s   a s   i t   d o e s n ’ t   r e q u i r e   m a l w a r e   t o   b e   s u c c e s s f u l l y d e p l o y e d   t o   d i s k   i n   o r d e r   t o   s t e a l   i n f o r m a t i o n –   t h e   k e y l o g g i n g   f u n c t i o n a l i t y s i m p l y   r e q u i r e s   t h e   J a v a S c r i p t   c o d e   t o   b e   e x e c u t e d   b y   a   w e b   b r o w s e r . ” — — C h r i s   D o m a n   a n d   T o m L a n c a s t e r   ( P w C ) 这 是 世 界 顶 级 会 计 师 事 务 所 普 华 永 道 最 近 在 报 告 中 提 到 的 。 这 份 名 为 S c a n b o x 的 恶 意 代 码 是 具 有 信 息 收 集 和 键 盘 记 录 等 间 谍 功 能 的 J a v a s c r i p t 恶 意 脚 本 ， 适 用 于 I E 浏 览 器 。 S c a n b o x 具 有 收 集 主 机 基 本 信 息 、 获 取 主 机 安 装 的 应 用 程 序 、 获 取 F l a s h 版 本 、 获 取 O f f i c e 版 本 、 验 证 A d o b e   R e a d e r 和 键 盘 记 录 等 功 能 。 后 文 将 对 每 一 种 功 能 源 代 码 如 何 实 现 进 行 分 析 。 顺 便 吐 槽 一 下 ， 国 内 也 有 不 少 科 技 网 站 对 其 进 行 了 转 载 报 道 ， 但 鲜 有 针 对 源 码 进 行 分 析 解 读 ， 笔 者 最 终 在 国 外 安 全 人 员 的 个 人 博 客 中 发 现 了 这 份 不 太 完 整 的 （ 8 1 7   l i n e s ） 源 代 码 。 程 序 框 架 程 序 框 架 首 先 看 下 S c a n b o x 脚 本 的 程 序 框 架 【 图 1 】 S c a n b o x 程 序 框 架 当 恶 意 脚 本 被 插 入 到 网 站 页 面 进 而 被 用 户 访 问 时 ， 脚 本 被 浏 览 器 本 地 解 析 ， 程 序 流 程 可 抽 象 成 【 图 1 】 所 示 几 个 模 块 。 收 集 基 本 信 息 收 集 基 本 信 息
【 图 2 】 收 集 基 本 信 息 源 码 【 图 2 】 中 s c a n b o x . i n f o 对 象 记 录 包 括 当 前 页 面 头 部 的 一 些 基 本 信 息 ， 同 时 也 包 含 屏 幕 分 辨 率 、 操 作 系 统 、 语 言 等 主 机 信 息 。 加 密 模 块 加 密 模 块
【 图 3 】 加 密 模 块 源 码 这 个 没 什 么 好 说 的 ， 没 有 引 入 B a s e 6 4 类 库 ， 所 以 用 原 生 J S 实 现 的 B a s e 6 4 编 码 。 通 信 模 块 通 信 模 块
【 图 4 】 通 信 模 块 源 码 通 信 模 块 是 通 过 两 个 函 数 实 现 的 ， 一 个 是 g e t 函 数 ， 一 个 是 p o s t 函 数 ， 也 就 是 h t t p 请 求 的 常 用 方 法 ， 实 现 将 窃 取 的 信 息 回 传 给 攻 击 者 后 台 的 服 务 器 。 g e t 函 数 是 创 建 一 个 i m a g e 对 象 ， 通 过 设 置 s r c 属 性 实 现 g e t 请 求 ； p o s t 函 数 是 创 建 一 个 f o r m 表 单 ， 通 过 设 置 i n p u t 元 素 ， 加 密 后 调 用 s u b m i t ( ) 提 交 实 现 p o s t 。 这 也 是 J a v a s c r i p t 实 现 与 后 台 通 信 的 方 便 之 处 。 报 活 模 块 报 活 模 块 【 图 5 】 报 活 模 块 源 码 同 样 利 用 i m a g e 对 象 采 用 G E T 方 式 向 后 台 传 递 数 据 ， 数 据 传 输 前 使 用 加 密 模 块 （ B a s e 6 4 ） 加 密 。 通 过 s e t I n t e r v a l 函 数 设 置 定 时 器 ， 以 一 定 时 间 间 隔 向 服 务 器 报 活 。 插 件 集 合 插 件 集 合 1 、 p l u g i n i d   =   1 第 1 号 （ p l u g i n i d = 1 ） 插 件 的 功 能 是 获 取 操 作 系 统 安 装 的 软 件 列 表 ， 方 法 是 通 过 r e s : / / 协 议 。 r e s 协 议 是 I E 浏 览 器 预 定 义 的 协 议 ， 可 以 分 析 所 有 符 合 W i n 3 2   P E 格 式 的 文 件 的 资 源 文 件 。 如 下 【 图 6 】 所 示 ：
【 图 6 】 利 用 R e s o u r c e E d i t o r 查 看 资 源 文 件 上 图 是 通 过 P E 文 件 查 看 工 具 R e s o u r c e E d i t o r 查 看 e x p l o r e r . e x e 的 位 图 资 源 文 件 ， 然 而 这 种 功 能 利 用 I E 浏 览 器 也 能 实 现 ， 如 下 ： 【 图 7 】 利 用 r e s 协 议 查 看 资 源 文 件 进 而 可 以 利 用 创 建 i m a g e 对 象 ， 将 i m a g e 对 象 的 s r c 属 性 设 置 为 通 过 r e s 协 议 访 问 某 个 特 定 P E 文 件 的 资 源 文 件 的 U R L ， 再 利 用 i m a g e 的 o n l o a d 和 o n e r r o r 事 件 判 断 i m a g e 对 象 是 否 成 功 加 载 ， 等 效 于 判 断 i m a g e 对 象 的 s r c 属 性 对 应 的 r e s 协 议 是 否 访 问 成 功 ， 从 而 判 断 某 个 特 定 应 用 程 序 是 否 安 装 在 受 害 者 主 机 。 如 下 图 ： 【 图 8 】 测 试 特 定 应 用 程 序 是 否 安 装 的 一 种 方 法 但 S c a n b o x 并 不 是 采 用 这 种 方 式 进 行 判 断 的 ， 而 是 创 建 A c t i v e X O b j e c t ( “ M i c r o s o f t . X M L D O M ” ) 对 象 ， 解 析 X M L 文 档 中 的 r e s 协 议 实 现 的 。 下 图 中 调 用 v a l i d a t e X M L 函 数 前 构 造 的 X M L 格 式 串 如 红 色 标 记 ：
【 图 9 】 构 造 X M L 格 式 文 档 接 下 来 调 用 v a l i d a t e X M L 进 行 验 证 ， 原 理 是 创 建 A c t i v e X O b j e c t 对 象 解 析 。 通 过 对 错 误 码 特 征 的 匹 配 来 判 断 X M L 文 档 中 利 用 r e s 协 议 访 问 的 P E 文 件 是 否 存 在 ， 进 而 判 断 主 机 是 否 安 装 特 定 的 应 用 程 序 。 【 图 1 0 】 创 建 A c t i v e X O b j e c t 对 象 加 载 X M L 下 图 为 S c a n b o x 源 码 中 枚 举 的 应 用 程 序 列 表 的 一 部 分 ， 可 以 发 现 S c a n b o x 重 点 关 注 主 机 是 否 安 装 安 全 防 护 类 软 件 ， 为 后 期 进
一 步 实 施 攻 击 收 集 了 重 要 信 息 。 【 图 1 1 】 S c a n b o x 枚 举 的 部 分 应 用 程 序 2 、 p l u g i n i d = 3 第 3 号 （ p l u g i n i d = 3 ） 插 件 的 功 能 是 判 断 F l a s h 版 本 信 息 ， 原 理 是 调 用 A c t i v e X O b j e c t ( ) 与 f l a s h 相 关 的 对 象 ， 从 而 获 取 f l a s h 版 本 。 【 图 1 2 】 获 取 F l a s h 版 本 3 、 p l u g i n i d = 5 第 5 号 （ p l u g i n i d = 5 ） 插 件 的 功 能 是 获 取 O f f i c e 版 本 信 息 ， 原 理 同 上 也 是 创 建 A c t i v e X O b j e c t 对 象 ， 获 取 版 本 号
【 图 1 3 】 获 取 O f f i c e 版 本 4 、 p l u g i n i d = 6 第 6 号 （ p l u g i n i d = 6 ） 插 件 的 功 能 是 判 断 是 否 安 装 A d o b e R e a d e r ， 原 理 同 上 【 图 1 4 】 判 断 A d o b e R e a d e r 5 、 p l u g i n i d = 2 1 这 份 不 完 整 的 S c a n b o x 源 码 中 并 没 有 找 到 监 听 键 盘 敲 击 的 记 录 ， 但 网 上 报 道 的 重 点 多 在 于 此 ， 无 奈 笔 者 根 据 S c a n b o x 中 插 件 调 用 的 模 式 自 行 补 充 了 键 盘 记 录 模 块 。 其 实 用 J a v a s c r i p t 实 现 键 盘 记 录 网 上 已 有 成 形 的 代 码 ， 而 且 实 现 方 法 都 是 一 致 的 ， 就 是 利 用 d o c u m e n t . o n k e y d o w n 和 d o c u m e n t . o n k e y p r e s s 两 个 事 件 ， 如 下 ：
【 图 1 5 】 键 盘 记 录 插 件 这 里 只 介 绍 了 目 前 能 发 现 的 S c a n b o x 源 码 中 的 插 件 ， 不 过 从 插 件 的 编 号 来 看 ， 还 有 不 少 插 件 并 没 有 出 现 在 这 份 源 码 中 ， 因 此 笔 者 只 能 分 析 至 此 。 脚 本 实 测 脚 本 实 测 如 果 网 站 页 面 存 在 存 储 式 X S S 漏 洞 ， 或 者 通 过 其 它 渗 透 手 段 将 S c a n b o x 植 入 含 有 登 陆 框 的 页 面 进 而 被 用 户 访 问 加 载 执 行 就 会 造 成 很 严 重 的 后 果 。 用 户 登 录 时 输 入 的 密 码 都 会 随 着 键 盘 监 听 模 块 的 记 录 而 回 传 给 攻 击 者 后 台 ， 而 且 是 明 文 的 。 笔 者 在 后 端 写 了 几 个 简 单 的 P H P 脚 本 作 为 S c a n b o x 回 传 数 据 的 目 标 ， 解 码 B a s e 6 4 后 将 键 盘 记 录 保 存 在 本 地 t x t 文 件 中 。 【 图 1 6 】 后 台 接 收 脚 本 并 写 入 文 件
下 面 来 对 特 定 网 站 后 台 登 录 页 面 植 入 S c a n b o x 恶 意 脚 本 ， 观 察 页 面 被 加 载 后 的 行 为 。 【 图 1 7 】 植 入 S c a n b o x 的 登 录 页 面 通 信 行 为 如 下 图 所 示 ， 键 盘 记 录 回 传 数 据 会 写 入 本 地 文 件 【 图 1 8 】 键 盘 记 录 文 件 结 束 语 结 束 语 总 的 来 看 ， S c a n b o x 作 为 一 款 客 户 端 解 析 的 恶 意 脚 本 ， 其 攻 击 效 果 受 浏 览 器 安 全 配 置 的 制 约 ， 但 这 并 不 影 响 其 强 大 的 功 能 和 导 致 的 严 重 后 果 。 如 果 被 攻 击 者 利 用 得 当 ， 配 合 存 储 式 X S S 漏 洞 实 施 水 坑 式 ( W a t e r i n g   H o l e ) 攻 击 ， 监 听 用 户 登 录 时 输 入 的 用
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理