搜索

[11693] 2017-08-22_无招胜有招：看我如何通过劫持COM服务器绕过AMSI

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2017-08-22_无招胜有招：看我如何通过劫持COM服务器绕过AMSI 无 招 胜 有 招 ：   看 我 如 何 通 过 劫 持 C O M 服 务 器 绕 过 A M S I l i u l a n g   F r e e B u f   2 0 1 7 - 0 8 - 2 2 在 在 W i n d o w s   1 0 中 ， 中 ， M i c r o s o f t 的 反 恶 意 软 件 扫 描 接 口 （ 的 反 恶 意 软 件 扫 描 接 口 （ A M S I ） 被 作 为 新 功 能 被 引 入 ， 作 为 标 准 接 口 ， 该 功 能 可 ） 被 作 为 新 功 能 被 引 入 ， 作 为 标 准 接 口 ， 该 功 能 可 以 让 反 病 毒 引 擎 将 特 征 规 则 应 用 于 机 器 的 内 存 和 磁 盘 上 的 缓 冲 区 中 去 。 这 使 的 反 病 毒 产 品 能 够 在 恶 意 程 序 的 脚 以 让 反 病 毒 引 擎 将 特 征 规 则 应 用 于 机 器 的 内 存 和 磁 盘 上 的 缓 冲 区 中 去 。 这 使 的 反 病 毒 产 品 能 够 在 恶 意 程 序 的 脚 本 被 解 释 执 行 之 前 执 行 劫 持 操 作 ， 这 在 一 定 程 度 上 意 味 着 任 何 的 代 码 混 淆 或 加 密 都 有 相 对 应 的 例 程 去 还 原 和 解 本 被 解 释 执 行 之 前 执 行 劫 持 操 作 ， 这 在 一 定 程 度 上 意 味 着 任 何 的 代 码 混 淆 或 加 密 都 有 相 对 应 的 例 程 去 还 原 和 解 密 程 序 。 如 果 需 要 更 多 详 细 的 有 关 密 程 序 。 如 果 需 要 更 多 详 细 的 有 关 A M S I 的 信 息 ， 您 可 以 在 的 信 息 ， 您 可 以 在 这 里 阅 读 有 关 这 里 阅 读 有 关 A M S I 的 更 多 信 息 。 的 更 多 信 息 。 在 这 篇 文 章 中 ， 我 们 将 阐 述 一 种 通 过 劫 持 C O M 服 务 器 来 绕 过 A M S I 的 方 法 ，   并 分 析 M i c r o s o f t 如 何 在 b u i l d ＃ 1 6 2 3 2 中 修 复 该 绕 过 ， 然 后 再 讨 论 如 何 再 次 绕 过 微 软 对 该 漏 洞 的 修 复 。 通 过 劫 持 C O M 服 务 器 来 绕 过 A M S I 的 这 个 问 题 在 5 月 3 日 我 们 向 微 软 递 交 了 报 告 ， 并 且 微 软 官 方 已 经 修 复 了 该 漏 洞 ， 具 体 修 复 信 息 可 见 B u i l d ＃ 1 6 2 3 2 中 的 “ 深 度 防 御 ” 补 丁 。 在 本 文 中 ， 我 们 的 实 验 是 一 个 通 过 P o w e r S h e l l 进 行 的 A M S I 测 试 示 例 ， 测 试 过 程 是 当 A M S I 模 块 接 受 外 部 传 进 来 的 脚 本 块 并 将 其 传 递 给 D e f e n d e r 进 行 分 析 的 时 候 进 行 劫 持 操 作 ， 具 体 可 见 下 图 所 示 ： 正 如 你 所 看 到 的 ， A M S I 接 受 了 我 们 构 造 的 恶 意 代 码 并 将 该 代 码 块 传 递 给 被 调 用 的 I n v o k e - E x p r e s s i o n 。 由 于 该 代 码 被 认 为 是 恶 意 的 ， 因 此   该 代 码 块 被 阻 止 执 行 。 这 里 需 要 我 们 去 研 究 的 是 ： 这 种 阻 止 恶 意 代 码 执 行 操 作 是 如 何 工 作 的 呢   ？ 之 后 我 们 通 过 查 看 a m s i . d l l 的 导 出 ， 可 以 看 到 A M S I 导 出 的 各 种 函 数 调 用 ：
通 过 查 看 A M S I 导 出 的 函 数 ， 我 们 可 以 发 现 一 些 很 重 要 的 函 数 信 息 ， 那 就 是 a m s i ！ D l l G e t C l a s s O b j e c t 和 a m s i ！ D l l R e g i s t e r S e r v e r 这 两 个 函 数   ， 因 为 这 些 都 是 C O M 入 口 点 ， 这 些 函 数 都 是 用 于 方 便 实 例 化 一 个 C O M 对 象 的 。 幸 运 的 是 ， C O M 服 务 器 易 于 劫 持 ， 因 为 C O M 服 务 在 处 理   流 程 上 默 认 在 查 找 H K C R / H K L M 之 前 会 去 先 搜 索 当 前 用 户 的 注 册 表 配 置 单 元 （ H K C U ）   ， 以 用 于 C O M 服 务 器 来 正 常 处 理 。 这 个 过 程 我 们 在 I D A 中 可 以 看 出 ， 从 图 中   我 们 可 以 看 到 C O M 服 务 接 口 I D （ I I D ） 和 C l a s s I D （ C L S I D ） 传 递 给 C o C r e a t e I n s t a n c e （ ） ： 甚 至 ， 我 们 可 以 通 过 查 看 P r o c M o n 来 验 证 这 一 点 ：
通 过 以 上 的 分 析 最 终 我 们 可 以 发 现 ， A M S I 扫 描 恶 意 程 序 的 功 能 似 乎 是 通 过 自 己 的 C O M 服 务 器 来 实 现 的 ， 该 功 能 在 C O M 服 务 器 被 实 例 化 时 被 导 出 。 当 A M S I 加 载 时 ， 它 首 先 实 例 化 其 C O M 组 件 ， 它 导 出 了 诸 如 a m s i ！ A m s i O p e n S e s s i o n ， a m s i ！ A m s i S c a n B u f f e r ， a m s i ！ A m s i S c a n S t r i n g 和 a m s i ！ A m s i C l o s e S e s s i o n 之 类 的 函 数 。 在 这 个 过 程 中 如 果 我 们 强 制 C O M 实 例 化 失 败 ， 那 么 A M S I 将 无 法 调 用 用 来 扫 描 恶 意 程 序 内 容 所 需 的 函 数 方 法 。 由 于 C O M 服 务 器 首 先 通 过 H K C U 配 置 单 元 进 行 解 析 ， 因 此 普 通 用 户 可 以 劫 持 I n P r o c S e r v e r 3 2 键 值 并 注 册 不 存 在 的 D L L （ 或 者 是 一 段 恶 意 执 行 的 代 码 ） 。 为 了 做 到 这 一 点 ， 有 两 个 注 册 表 项 需 要 修 改 ： 劫 持 C O M 服 务 的 整 个 过 程 是 ： 当 A M S I 尝 试 实 例 化 其 C O M 组 件 时 ， 它 将 查 询 其 在 注 册 表 中 注 册 的 C L S I D 并 返 回   一 个 不 存 在 的 数 值 。 这 将 导 致 其 加 载 失 败 ， 并 阻 止 任 何 扫 描 恶 意 软 件 的 方 法 被 访 问 ， 最 终 使 得 A M S I 不 可 使 用 。 您 可 以 看 到 ， 导 入 上 述 更 改 的 注 册 表 将 导 致 C O M 服 务 器 返 回 ” C : I D o n t E x i s t ” ： 现 在 ， 当 我 们 尝 试 运 行 我 们 的 “ 恶 意 ” 的 A M S I 测 试 样 本 时 ， 我 们 可 以 发 现 我 们 的 恶 意 代 码 段 被 允 许 执 行 ， 因 为 A M S I 无 法 通 过 其 C O M 接 口 访 问 任 何 扫 描 恶 意 程 序 的 方 法   ， 结 果 如 下 图 所 示 ：
您 可 以 在 这 里 找 到 更 改 注 册 表 的 方 法 ： h t t p s : / / g i s t . g i t h u b . c o m / e n i g m a 0 x 3 / 0 0 9 9 0 3 0 3 9 5 1 9 4 2 7 7 5 e b b 8 3 4 d 5 5 0 2 f 1 a 6 现 在 我 们 可 以 看 看 微 软 如 何 在 b u i l d ＃ 1 6 2 3 2 中 修 复 该 漏 洞 。 由 于 a m s i . d l l 也 是 A M S I 的 C O M 服 务 器 ， 因 此 将 这 两 个 D L L 分 开 似 乎 是 一 个 很 好 的 修 复 方 法 。 我 们 来 看 一 下 漏 洞 被 修 复 前 后 的 不 同 ， 从 图 中 可 以 看 到 A m s i I n i t i a l i z e 函 数 ， 它 可 能 包 含 了 实 际 实 例 化 A M S I 的 逻 辑 代 码 。 在 左 侧 ， 我 们 有 旧 的 A M S I   D L L ， 在 右 边 ， 我 们 有 新 更 新 的 A M S I   D L L 。 如 您 所 见 ， M i c r o s o f t 似 乎 删 除 了 对 C o C r e a t e I n s t a n c e （ ） 的 调 用 ， 并 将 其 替 换 为 直 接 调 用 D l l G e t C l a s s O b j e c t （ ） 。   C o C r e a t e I n s t a n c e （ ） 可 以 定 义 为 高 级 函 数 ， 该 函 数 用 于 实 例 化 使 用 C o G e t C l a s s O b j e c t （ ） 生 成 的 C O M 例 程   。 该 函 数 解 析 完 成 后 （ 部 分 通 过 注 册 表 C L S I D 查 找 ） 以 及 定 位 到 C O M 服 务 器 后 ， 服 务 器 的 导 出 函 数 “ D l l G e t C l a s s O b j e c t （ ） ” 将 被 调 用 。 通 过 直 接 调 用 a m s i . d l l 的 D l l G e t C l a s s O b j e c t （ ） 函 数 替 换 C o C r e a t e I n s t a n c e ， 这 一 修 复 方 法 避 免 了 注 册 表 解 析 操 作 ， 由 于 A M S I 不 再 在 C O M 服 务 器 的 注 册 表 中 查 询 C L S I D ， 因 此 我 们 无 法 再 劫 持 它 。 现 在 我 们 知 道 修 复 ， 那 么 我 们 如 何 去 绕 过 它 呢 ？ 在 进 行 研 究 之 前 ， 我 们 需 要 明 白 的 是 ： 基 本 上 ， 脚 本 解 释 器 （ 如 P o w e r S h e l l ） 从 工 作 目 录 加 载 a m s i . d l l ， 而 不 是 从 安 全 路 径 （ 如 S y s t e m 3 2 ） 加 载 它 。 由 于 这 个 原 因 ， 我 们 可 以 将 P o w e r S h e l l . e x e 复 制 到 我 们 可 以 写 入 的 目 录 ， 并   将 易 受 攻 击 的 a m s i . d l l 版 本 放 到 这 个 目 录 中 。 通 过 这 些 操 作 后 ， 我 们 获 许 就 可 以 劫 持 D L L ， 或 者 我 们 可 以 创 建 相 同 的 注 册 表 项 来 劫 持 A M S I 的 C O M 组 件 。 由 于 这 个 易 受 攻 击 的 A M S I 版 本 仍 然 调 用 C o C r e a t e I n s t a n c e （ ） 函 数 ， 因 此 我 们 仍 然 可 以 通 过 劫 持 注 册 表 的 搜 索 顺 序 来 劫 持 A M S I ， 整 个 操 作 方 法 如 下 ： 首 先 ， 我 们 可 以 通 过 为 p o w e r s h e l l . e x e 和 A M S I 的 C L S I D 创 建 一 个 P r o c M o n 过 滤 器 来 验 证 修 补 后 的 a m s i . d l l 版 本 不 再 通 过 注 册 表 查 询 C O M 服 务 器 。   当 P o w e r S h e l l 启 动 时 ， 您 将 注 意 到 没 有 任 何 条 目 出 现 ：
接 下 来 ， 我 们 删 除 易 受 攻 击 的 A M S I   D L L 并 将 P o w e r S h e l l 移 动 到 同 一 目 录 。   如 您 所 见 ， 现 在 正 在 查 询 注 册 表 以 查 找 A M S I 的 C O M 服 务 器 ： 使 用 易 受 攻 击 的 A M S I   D L L ， 从 图 中 可 以 看 出 我 们 现 在 可 以 执 行 C O M 服 务 器 劫 持 ：
总 结 ： 总 结 ： 尽 管 微 软 在 补 丁 ＃ 1 6 2 3 2 中 对 该 漏 洞 进 行 了 修 复 ， 但 仍 然 可 以 通 过 使 用 旧 的 ， 易 受 攻 击 的 A M S I   D L L 执 行 D L L 劫 持 来 执 行 劫 持 操 作 。   关 于 防 御 方 法 ， 我 们 觉 得 对 那 些 在 正 常 目 录 之 外 执 行 任 何 的 二 进 制 文 件 （ w s c r i p t ， c s c r i p t ， P o w e r S h e l l ） 操 作 进 行 监 视 操 作 将 是 一 个 好 的 想 法 。   由 于 绕 过 修 复 补 丁 需 要 将 二 进 制 文 件 移 动 到 用 户 可 写 位 置 ， 所 以 在 非 标 准 位 置 执 行 这 些 命 令 可 以 被 当 成 一 种 异 常 的 操 作 行 为 。 * 本 文 作 者 ： l i u l a n g ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理