设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [11463] 2017-06-15_基于unicorn-engine的虚拟机的实现( ...
返回列表 发新帖
查看: 3|回复: 0

[11463] 2017-06-15_基于unicorn-engine的虚拟机的实现(WxSpectre)

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2017-06-15_基于unicorn-engine的虚拟机的实现(WxSpectre) 基 于 u n i c o r n - e n g i n e 的 虚 拟 机 的 实 现 ( W x S p e c t r e ) 比 尔 . 盖 茨   F r e e B u f   2 0 1 7 - 0 6 - 1 5 *   本 文 作 者 ： 比 尔 . 盖 茨 （ t w i t t e r @ m a 1 f a n ） ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 反 病 毒 虚 拟 机 是 一 个 很 有 优 势 的 工 具 ， 可 以 说 反 病 毒 软 件 是 否 存 在 模 拟 器 是 衡 量 反 病 毒 软 件 能 力 的 一 个 指 标 。 反 病 毒 虚 拟 反 病 毒 虚 拟 机 是 一 个 很 有 优 势 的 工 具 ， 可 以 说 反 病 毒 软 件 是 否 存 在 模 拟 器 是 衡 量 反 病 毒 软 件 能 力 的 一 个 指 标 。 反 病 毒 虚 拟 机 不 光 是 内 嵌 在 反 病 毒 软 件 内 部 ， 来 动 态 执 行 样 本 。 这 种 虚 拟 机 一 般 也 可 以 单 独 用 来 动 态 执 行 批 量 样 本 ， 检 测 样 本 恶 意 行 机 不 光 是 内 嵌 在 反 病 毒 软 件 内 部 ， 来 动 态 执 行 样 本 。 这 种 虚 拟 机 一 般 也 可 以 单 独 用 来 动 态 执 行 批 量 样 本 ， 检 测 样 本 恶 意 行 为 ， 因 为 它 相 对 为 ， 因 为 它 相 对 v i r u a l b o x + c u c k o o 更 加 的 轻 巧 ， 节 省 资 源 。 所 以 还 是 有 很 高 的 价 值 的 。 正 因 为 其 高 效 性 与 复 杂 性 ， 现 在 公 开 更 加 的 轻 巧 ， 节 省 资 源 。 所 以 还 是 有 很 高 的 价 值 的 。 正 因 为 其 高 效 性 与 复 杂 性 ， 现 在 公 开 这 方 面 的 资 料 很 少 。 这 方 面 的 资 料 很 少 。   一 、 虚 拟 机 一 、 虚 拟 机 v s 模 拟 器 模 拟 器 对 于 恶 意 样 本 分 析 领 域 ， 沙 箱 ， 虚 拟 机 ， 模 拟 器 , 一 个 原 则 就 是 执 行 指 令 不 会 影 响 h o s t 环 境 .   v i r t u a l b o x 除 过 特 权 指 令 和 部 分 r i n g 0 中 运 行 的 指 令 ， 是 直 接 在 宿 主 机 上 运 行 的 。 所 以 运 行 速 度 与 宿 主 机 没 有 很 大 差 异 。 B o c h s 是 纯 粹 的 软 件 模 拟 器 ， 另 外 加 上 对 硬 件 的 模 拟 ， 所 以 其 指 令 执 行 速 度 是 非 常 慢 的 。 U n i c o r n - e n g i n e 基 于 动 态 翻 译 技 术 ， 速 度 相 对 于 纯 粹 的 指 令 模 拟 快 的 多 . 所 以 如 果 关 心 系 统 仿 真 度 当 然 选 择 v i r t u a l b o x ， b o c h s ， 但 是 v i r t u a l b o x 会 耗 费 更 多 的 系 统 资 源 。 U n i c o r n - e n g i n e 可 以 虚 拟 执 行 x 8 6 ， x 6 4 ， a r m 等 指 令 集 。 因 为 其 基 于 动 态 翻 译 和 部 分 模 拟 来 执 行 目 标 指 令 ， 效 率 比 b o c h s 快 的 多 。 很 显 然 ， u n i c o r n - e n g i n e 只 是 一 个 ” C P U ” , 所 以 要 想 运 行 样 本 还 缺 的 是 一 个 w i n d o w s 的 运 行 应 用 程 序 的 环 境 。 W x S p e c t r e 就 是 这 样 基 于 u n i c o r n - e n g i n e 的 w i n d o w s 仿 真 环 境 来 实 现 的 虚 拟 机 。 二 、 关 于 二 、 关 于 W x S p e c t r e 二 、 关 于 二 、 关 于 W x S p e c t r e W i n d o w s 是 一 个 多 进 程 环 境 ， 这 是 现 代 操 作 系 统 的 普 遍 的 标 配 。 但 是 在 运 行 恶 意 样 本 的 时 候 ， 我 们 只 关 心 的 恶 意 样 本 做 了 什 么 ， 而 且 为 了 避 免 产 生 干 扰 一 次 只 能 运 行 一 个 样 本 ， 这 就 造 成 了 很 大 的 浪 费 ， 其 实 只 要 满 足 样 本 运 行 所 需 要 的 环 境 就 可 以 ， 但 是 我 们 却 提 供 了 一 个 完 整 的 w i n d o w s 环 境 ， 显 然 杀 鸡 用 了 宰 牛 刀 。 如 果 我 们 只 提 供 运 行 目 标 样 本 所 需 的 基 本 环 境 ， 显 然 这 将 节 省 很 多 的 资 源 。 W x S p e c t r e 基 本 上 实 现 了 这 一 目 标 。 W x S p e c t r e 由 两 大 部 分 组 成 ： U n i c o r n - e n g i n e + 仿 真 W I N D O W S 系 统 环 境 . W x S p e c t r e 实 现 了 大 部 分 的 w i n d o w s 执 行 应 用 程 序 的 环 境 ， 包 括 文 件 系 统 ， 对 象 管 理 ， 注 册 表 ， 线 程 调 度 ， 内 存 管 理 ， 异 常 / 中 断 处 理 ， W i n d o w s   A P I ( r i n g 3 ) . p e   执 行 环 境 初 始 化 模 块 。 W x S p e c t r e 可 以 跨 平 台 在 w i n d o w s ， l i n u x , M a c   o s , 下 运 行 ， 可 以 虚 拟 执 行 E X E / V B S 脚 本 。
目 前 实 现 的 功 能 是 : 1 . a p i   t r a c e . 2 . 运 行 时 内 存 d u m p . 3 . 指 令 t r a c e , 4 , 虚 拟 调 试 5 . 内 存 字 符 串 提 取 等 。   W x S p e c t r e 的 框 架 结 构 ： 的 框 架 结 构 ： 1 . 内 存 管 理 内 存 管 理 : 包 括 内 存 的 申 请 释 放 ， 堆 内 存 管 理 。 2 . 线 程 调 度 线 程 调 度 : 线 程 切 换 ， 线 程 调 度 。 3 . 异 常 处 理 异 常 处 理 : 将 c p u 的 异 常 传 送 到 h y p e r v i r o r ， 然 后 经 过 过 滤 处 理 ， 然 后 分 发 给 相 应 的 处 理 函 数 。 4 . 对 象 管 理 ： 对 象 管 理 ： 主 要 是 指 对 象 初 始 化 ， 对 象 同 步 ， 对 象 释 放 ， 对 象 的 访 问 。 5 . W x V F S : 指 的 是 虚 拟 文 件 系 统 ， 有 点 类 似 于 l i n u x 的 V F S 系 统 ， 但 是 所 不 同 的 是 这 里 不 是 为 了 实 现 一 个 统 一 的 文 件 系 统 界 面 ， 这 里 主 要 是 虚 拟 出 文 件 系 统 的 结 构 。 从 而 使 W x S p e c t r e 中 所 有 样 本 访 问 文 件 系 统 的 操 作 得 以 执 行 。 比 如 读 写 文 件 ， 创 建 ， 删 除 ， 文 件 ， 目 录 等 。 6 . W x h e l p e r : 所 用 的 a p i 调 用 将 会 重 定 位 到 这 个 模 块 中 ， 然 后 执 行 。 7 . 脚 本 引 擎 脚 本 引 擎 ( W x N s c r i p t ) ： ： 这 里 的 脚 本 引 擎 主 要 用 来 执 行 v b s ， j s 脚 本 . 因 为 现 在 越 来 越 多 的 病 毒 会 利 用 脚 本 文 件 了 来 作 为 传 播 载 体 .
8 . 兼 容 层 兼 容 层 : 在 W x S p e c t r e 执 行 应 用 程 序 的 时 候 ， 有 的 时 候 需 要 打 补 丁 ， p a t c h 某 些 指 令 序 列 从 而 让 样 本 能 顺 利 执 行 下 去 ( 因 为 存 在 某 些 反 虚 拟 机 ， 反 模 拟 器 样 本 或 者 其 他 的 异 常 行 为 导 致 执 行 出 现 错 误 ， 或 者 奔 溃 ) 。 9 . 虚 拟 注 册 表 虚 拟 注 册 表 ( W x R e g i s t r y ) W i n d o w s 程 序 执 行 需 要 依 赖 注 册 表 。 W x R e g i s t r y 是 对 注 册 表 的 虚 拟 。 1 0 . 网 络 访 问 模 块 网 络 访 问 模 块 ( W x N e t w o r k ) W x N e t w o r k 会 虚 拟 出 一 个 s e v e r 模 块 ， 当 有 样 本 请 求 数 据 ， w x n e t w o r k 会 与 其 回 话 。     W x S p e c t r e 的 功 能 的 功 能 : 1 .   A P I   t r a c e   A p i   t r a c e 是 勾 勒 样 本 动 态 行 为 的 一 个 很 重 要 的 方 面 。 这 里 只 记 录 样 本 直 接 调 用 的 a p i 日 志 。 不 会 记 录 嵌 套 在 a p i 内 部 的 a p i 调 用 ， 这 样 分 析 者 更 加 能 抓 住 重 点 。 C u c k o o 不 好 的 一 点 a p i 的 记 录 没 有 做 过 滤 。   2 .   虚 拟 文 件 系 统 虚 拟 文 件 系 统 ( W x V F S )   因 为 完 成 了 文 件 系 统 所 以 W x S p e c t r e 如 果 捕 获 到 有 文 件 的 创 建 ， 写 入 都 会 被 监 控 。 且 可 以 d u m p 创 建 出 的 文 件 。   3 . 虚 拟 调 试 虚 拟 调 试 ( v i r t u a l   d e b u g g e r )   这 个 功 能 是 非 常 有 用 的 。 因 为 通 常 情 况 下 调 试 病 毒 必 须 在 虚 拟 机 里 面 调 试 。 分 析 者 通 常 需 要 反 复 的 还 原 虚 拟 机 ， 将 样 本 用 调 试 器 加 载 起 来 ， 这 样 会 耗 费 很 多 的 时 间 。 W x S p e c t r e 的 虚 拟 调 试 ， 完 全 不 依 赖 虚 拟 机 ， 启 动 非 常 的 快 。 对 调 试 病 毒 非 常 的 方 便 。   4 .   虚 拟 注 册 表 虚 拟 注 册 表 & 文 件 监 控 文 件 监 控   监 控 注 册 表 的 访 问 ， 读 ， 写 ， 设 置 ， 文 件 及 文 件 夹 的 创 建 ， 读 ， 写 , 删 除 等 。   5 .   进 程 创 建 监 控 进 程 创 建 监 控   6 .   内 存 内 存 d u m p & 及 内 存 字 符 串 及 内 存 字 符 串 d u m p 三 、 三 、 d e m o 情 况 情 况 三 、 三 、 d e m o 情 况 情 况 A p i   t r a c e : 病 毒 名 ： D D o S : W i n 3 2 / N i t o l . A M d 5 :   4 6 6 6 a 8 e e f 0 e 5 1 3 2 3 f 8 5 f 5 6 9 e 0 8 3 f 5 b c 4 、 V T :   h t t p s : / / v i r u s t o t a l . c o m / e n / f i l e / c 4 5 4 1 1 9 5 1 4 c 4 4 e 6 4 d f 4 5 d 8 3 1 6 0 c a 7 b 8 a 0 6 c 8 7 a 2 b 1 6 7 b 1 6 7 0 0 b a a 4 e 0 c a c a f e 9 5 a / a n a l y s i s /
D r o p 样 本 释 放 的 文 件 样 本 释 放 的 文 件 : D r o p 样 本 释 放 的 文 件 样 本 释 放 的 文 件 : 病 毒 名 : w a n n c r y 2 . 0 M d 5 :   8 4 c 8 2 8 3 5 a 5 d 2 1 b b c f 7 5 a 6 1 7 0 6 d 8 a b 5 4 9 V T :   h t t p s : / / v i r u s t o t a l . c o m / e n / f i l e / e d 0 1 e b f b c 9 e b 5 b b e a 5 4 5 a f 4 d 0 1 b f 5 f 1 0 7 1 6 6 1 8 4 0 4 8 0 4 3 9 c 6 e 5 b a b e 8 e 0 8 0 e 4 1 a a / a n a l y s i s / W x V F S 监 控 到 的 病 毒 创 建 出 来 的 文 件
对 应 的 文 件 内 容 更 多 关 于 脱 壳 能 力 ， 注 册 表 监 控 ， 进 程 创 建 监 控 ， 虚 拟 调 试 ， 内 存 字 符 串 d u m p , 执 行 速 度 ， 这 里 完 整 的 演 示 视 频 。 四 、 待 完 成 部 分 四 、 待 完 成 部 分 四 、 待 完 成 部 分 四 、 待 完 成 部 分 目 前 脚 本 执 行 模 块 还 在 完 善 ， 调 试 功 能 还 没 有 完 成 。 网 络 模 块 还 没 有 完 成 ， 脱 壳 能 力 还 需 要 改 善 。 等 到 机 会 合 适 我 将 放 出 这 个 工 具 。 *   本 文 作 者 ： 比 尔 . 盖 茨 （ t w i t t e r @ m a 1 f a n ） ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:40 , Processed in 0.268756 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表