搜索

[10658] 2016-10-29_【威胁预警】AtomBombing内存注入技术影响全部Windows系统

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2016-10-29_【威胁预警】AtomBombing内存注入技术影响全部Windows系统 【 威 胁 预 警 】 A t o m B o m b i n g 内 存 注 入 技 术 影 响 全 部 W i n d o w s 系 统 A r t h u r K i l l e r   F r e e B u f   2 0 1 6 - 1 0 - 2 9 E n S i l o 网 络 安 全 公 司 的 研 究 团 队 发 现 了 一 个 可 以 绕 过 网 络 安 全 公 司 的 研 究 团 队 发 现 了 一 个 可 以 绕 过 W i n d o w s 查 杀 机 制 的 方 法 ， 可 以 查 杀 机 制 的 方 法 ， 可 以 B y p a s s 所 有 所 有 W i n d o w s 的 杀 毒 软 件 和 安 全 的 杀 毒 软 件 和 安 全 机 制 ， 他 们 把 这 个 方 法 叫 做 机 制 ， 他 们 把 这 个 方 法 叫 做 A t o m B o m b i n g 内 存 注 入 。 内 存 注 入 。 前 言 前 言 在 W i n d o w s 有 一 个 功 能 叫 做 A t o m   T a b l e s ， 而 这 个 功 能 主 要 可 以 用 于 进 程 和 进 程 之 间 的 通 信 ， 线 程 和 线 程 之 间 的 通 信 。 而 e n S i l o 网 络 安 全 公 司 的 研 究 团 队 利 用 这 个 功 能 的 设 计 缺 陷 ， 成 功 的 将 一 个 恶 意 代 码 注 入 到 一 个 合 法 的 进 程 当 中 ， 并 且 不 会 被 杀 毒 软 件 查 杀 。 这 个 缺 陷 影 响 了 所 有 的 W i n d o w s 系 统 。 非 常 不 幸 的 是 ， 这 个 缺 陷 没 办 法 修 复 ， 因 为 它 不 属 于 某 个 代 码 的 漏 洞 ， 而 是 A t o m   T a b l e s 在 设 计 之 初 就 存 在 这 个 功 能 了 ， 它 属 于 W i n d o w s 底 层 系 统 的 一 个 机 制 。 如 果 要 修 复 这 个 缺 陷 ， 只 能 重 新 开 发 一 个 A t o m   T a b l e s 的 替 代 品 ， 或 者 重 新 编 写 A t o m   T a b l e s 的 运 行 机 制 ， 而 这 样 将 会 对 W i n d o w s 系 统 的 内 核 进 行 大 规 模 的 调 整 。 所 以 正 如 标 题 所 示 ， 这 个 不 是 漏 洞 预 警 所 以 正 如 标 题 所 示 ， 这 个 不 是 漏 洞 预 警 ， 是 威 胁 预 警 ！ ， 是 威 胁 预 警 ！ 原 理 预 览 原 理 预 览 实 际 上 ， 这 个 技 术 的 原 理 并 没 有 多 复 杂 ， 但 是 影 响 却 非 常 的 显 著 。 比 如 我 要 运 行 一 个 s h e l l c o d e . e x e ， 而 这 个 可 执 行 程 序 中 内 置 的 恶 意 代 码 。 W i n d o w s 杀 毒 的 查 杀 机 制 会 检 查 这 个 软 件 的 签 名 证 书 ， 运 行 行 为 等 等 ， 从 而 达 到 一 个 查 杀 的 效 果 。 但 是 ， 如 果 我 们 能 够 说 服 用 户 双 击 这 个 s h e l l c o d e . e x e ， 在 利 用 A t o m B o m b i n g 技 术 后 ， 它 可 以 和 其 它 的 合 法 进 程 建 立 一 个 不 会 被 查 杀 的 通 讯 。 比 如 我 们 可 以 让 C h r o m e . e x e 和 s h e l l c o d e . e x e 进 行 通 信 ， 而 w i n d o w s 的 进 程 列 表 里 面 只 会 出 现 C h r o m e . e x e 的 进 程 ， 同 时 杀 毒 软 件 会 认 为 c h r o m e 是 一 个 合 法 程 序 ， 不 会 对 其 进 行 查 杀 。
实 际 上 ， 针 对 W i n d o w s 内 存 注 入 的 方 式 大 概 也 就 那 么 几 个 ， 分 别 为 使 用 函 数 Q u e u e U s e r A P C   D L L 注 入 ， 调 用 S e t W i n d o w s H o o k E x 注 入 ， c o d e   c a v e 注 入 和 前 不 久 的 P o w e r L o a d e r E x 内 存 注 入 。 然 而 A t o m B o m b i n g 注 入 和 其 他 的 注 入 有 很 多 不 同 ， 它 是 利 用 系 统 底 层 的 缺 陷 进 行 注 入 ， 绕 开 了 全 部 的 杀 毒 软 件 ， 可 以 影 响 到 全 部 的 W i n d o w s 系 统 ， 本 质 上 来 说 并 没 有 什 么 补 丁 可 以 针 对 这 个 缺 陷 。 危 害 危 害 首 先 第 一 个 危 害 就 是 绕 过 w i n d o w s 全 部 的 查 杀 机 制 了 ， 就 如 我 之 前 所 述 ， 这 个 东 西 属 于 w i n d o w s 底 层 的 一 个 功 能 ， 现 有 杀 毒 软 件 无 法 对 其 进 行 防 护 。 一 旦 恶 意 代 码 注 入 到 白 名 单 进 程 中 ， 任 何 的 查 杀 机 制 都 无 法 自 动 进 行 防 御 。 因 为 它 可 以 随 意 注 入 到 任 意 进 程 ， 也 就 是 说 它 可 以 注 入 到 浏 览 器 进 程 中 ， 任 意 修 改 网 页 数 据 ， 达 到 一 个 中 间 人 攻 击 的 效 果 。 与 此 同 时 ， 这 个 注 入 技 术 还 可 以 获 得 未 进 行 H T T P S 加 密 的 元 数 据 。 恶 意 代 码 可 以 注 入 到 浏 览 器 内 存 中 ， 在 数 据 传 输 到 传 输 层 之 前 将 其 进 行 截 获 ， 从 而 获 得 一 份 原 始 的 未 加 密 数 据 。 缺 陷 利 用 代 码 ： 请 点 击 原 文 查 看 * 编 辑 ： A r t h u r K i l l e r ， 编 译 自 Z d n e t ， S o f t p e d i a ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理