搜索

[11699] 2017-08-23_走近科学：如何一步一步解码复杂的恶意软件

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2017-08-23_走近科学：如何一步一步解码复杂的恶意软件 走 近 科 学 ： 如 何 一 步 一 步 解 码 复 杂 的 恶 意 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 8 - 2 3 写 在 前 面 的 话 写 在 前 面 的 话 在 检 测 网 站 安 全 性 的 过 程 中 ， 最 麻 烦 的 一 部 分 工 作 就 是 要 确 保 我 们 能 够 找 出 网 站 中 所 有 已 存 在 的 后 门 。 绝 大 多 在 检 测 网 站 安 全 性 的 过 程 中 ， 最 麻 烦 的 一 部 分 工 作 就 是 要 确 保 我 们 能 够 找 出 网 站 中 所 有 已 存 在 的 后 门 。 绝 大 多 数 情 况 下 ， 攻 击 者 会 在 网 站 各 种 不 同 的 地 方 注 入 恶 意 代 码 ， 并 以 此 来 增 加 再 次 感 染 该 网 站 的 成 功 率 以 及 尽 可 能 数 情 况 下 ， 攻 击 者 会 在 网 站 各 种 不 同 的 地 方 注 入 恶 意 代 码 ， 并 以 此 来 增 加 再 次 感 染 该 网 站 的 成 功 率 以 及 尽 可 能 久 地 实 现 持 续 感 染 。 久 地 实 现 持 续 感 染 。 虽 然 我 们 之 前 已 经 给 大 家 介 绍 过 数 百 种 后 门 以 及 相 应 的 影 响 ， 但 今 天 我 们 想 跟 大 家 更 加 深 入 地 讨 论 一 些 关 于 恶 意 软 件 的 分 析 技 术 ， 即 如 何 解 码 复 杂 的 高 级 恶 意 软 件 。 本 文 所 分 析 的 恶 意 软 件 感 染 样 例 早 在 几 个 月 前 就 已 经 出 现 了 ， 但 是 受 这 种 恶 意 软 件 变 种 所 感 染 的 网 站 （ 例 如 W o r d P r e s s 和 J o o m l a 等 C M S ） 数 量 却 一 直 在 增 加 。 恶 意 软 件 恶 意 软 件 成 功 感 染 目 标 网 站 之 后 ， 攻 击 者 可 能 会 进 行 注 入 后 门 和 W e b   S h e l l 、 以 及 添 加 伪 造 的 管 理 员 用 户 等 恶 意 操 作 。 一 般 来 说 ， 攻 击 者 都 会 采 用 一 种 或 多 种 技 术 来 隐 藏 自 己 的 恶 意 代 码 ， 例 如 编 码 、 加 密 和 混 淆 等 等 。 请 大 家 先 看 下 面 给 出 的 代 码 段 。 其 中 ， 攻 击 者 同 时 使 用 上 面 举 例 的 三 种 技 术 。 接 下 来 ， 我 们 会 一 步 一 步 地 告 诉 大 家 如 何 对 这 段 代 码 进 行 解 码 和 分 析 。 原 始 的 恶 意 软 件 代 码 段 ： 原 始 的 恶 意 软 件 代 码 段 ：
简 化 代 码 简 化 代 码 在 解 码 过 程 中 ， 最 重 要 的 是 要 理 解 代 码 的 逻 辑 结 构 。 为 此 ， 我 们 使 用 了 P H P   B e a u t i f i e r 来 将 之 前 的 代 码 段 转 换 成 了 下 图 所 示 的 格 式 ： 虽 然 目 前 为 止 代 码 仍 然 是 不 可 读 的 ， 但 是 我 们 现 在 至 少 已 经 了 解 了 代 码 的 编 程 逻 辑 架 构 。 攻 击 者 一 开 始 声 明 了 一 个 名 叫 ” $ h c 7 e 1 d 2 0 ” 的 变 量 ， 而 这 个 变 量 是 没 有 任 何 实 际 意 义 的 。 根 据 我 们 的 经 验 来 看 ， 这 个 变 量 的 值 ( 4 0 6 ) 可 能 是 攻 击 者 用 来 标 识 恶 意 软 件 变 种 版 本 的 。
除 此 之 外 ， 还 有 一 些 全 局 变 量 也 对 我 们 理 解 代 码 不 会 提 供 任 何 帮 助 ， 我 们 可 以 直 接 忽 略 它 们 。 这 个 恶 意 软 件 样 本 基 本 上 使 用 的 是 字 符 / 字 符 串 修 改 技 术 ， 攻 击 者 在 变 量 中 存 放 了 很 多 十 六 进 制 字 符 ， 然 后 再 将 它 们 编 译 成 不 同 的 变 量 。 第 一 个 样 例 如 下 ： 第 一 个 样 例 如 下 ： 这 段 代 码 可 以 直 接 通 过 下 面 的 b a s h 命 令 来 进 行 转 译 ： 这 个 值 （ $ { G L O B A L S } [ ‘ t b b 6 a ’ ] ） 似 乎 使 用 了 某 些 特 殊 字 符 来 防 止 被 转 译 ， 但 是 恶 意 软 件 最 终 似 乎 并 没 有 使 用 这 个 值 。 现 在 ， 我 们 就 可 以 创 建 一 个 简 单 的 P H P 脚 本 ， 然 后 自 动 化 地 打 印 出 所 有 的 变 量 以 及 相 应 的 值 。 $   e c h o   - e " x 4 7 x 4 c x 4 f B x 4 1 x 4 c x 5 3 " G L O B A L S $   p h p   - r   ' e c h o " x 4 7 x 4 c x 4 f B x 4 1 x 4 c x 5 3 " ; ' G L O B A L S
查 找 和 替 换 查 找 和 替 换 得 到 这 些 信 息 之 后 ， 我 们 就 可 以 使 用 查 找 和 替 换 功 能 了 。 第 一 个 变 量 如 下 ： 第 一 个 变 量 如 下 ： 我 们 可 以 得 到 下 面 的 转 译 结 果 ： 我 们 可 以 得 到 下 面 的 转 译 结 果 ：
为 了 增 加 代 码 的 可 读 性 ， 我 们 将 ’ b e 1 0 e b 4 3 6 ’ 替 换 成 了 ’ a r r ’ （ 因 为 它 被 声 明 为 了 一 个 a r r a y ( ) ） ， 然 后 我 们 继 续 对 字 符 进 行 转 译 。 几 分 钟 之 后 ， 我 们 得 到 了 如 下 所 示 的 代 码 ： 现 在 一 切 已 经 更 加 明 朗 了 ， 接 下 来 我 们 还 要 对 代 码 进 行 一 些 调 整 。 其 中 ， 前 几 个 变 量 可 以 直 接 替 换 成 下 列 形 式 ： 将 代 码 种 各 个 变 量 和 值 调 整 到 相 应 位 置 之 后 ， 我 们 就 得 到 了 上 述 代 码 中 的 第 一 个 函 数 ： 恶 意 目 的 恶 意 目 的 替 换 了 所 有 的 函 数 以 及 变 量 之 后 ， 我 们 就 可 以 得 到 如 下 所 示 的 代 码 段 了 ： $ a r r [ ' l 0 e 6 ' ]   =   ‘ c h r ’ ; $ a r r [ ' a c 6 c 2 4 d 1 ' ]   =   ‘ o r d ’ ; $ a r r [ ' s 8 b b 9 2 1 e ' ]   =   ‘ s t r l e n ’ ;
得 到 了 完 整 并 且 可 读 的 恶 意 代 码 之 后 ， 我 们 发 现 了 几 个 有 意 思 的 地 方 ： 得 到 了 完 整 并 且 可 读 的 恶 意 代 码 之 后 ， 我 们 发 现 了 几 个 有 意 思 的 地 方 ： 1 .   其 中 有 一 个 名 叫 l 3 f 5 ( )   的 函 数 ， 该 函 数 负 责 通 过 按 位 异 或 计 算 来 执 行 加 密 和 解 密 操 作 。 2 .   函 数   q 0 5 7 8 6 0 ( ) 采 用 了 两 层 异 或 加 密 / 解 密 计 算 。 a )   第 一 层 计 算 中 ， 密 钥 是 一 个 预 定 义 的 常 量 ：   ( $ w 1 5 8   =   ‘ 2 c e f 0 f 8 7 - 6 2 f e - 4 b b 9 - a 1 d e - 4 d c 0 0 9 e 8 1 8 e a ’ ; ) 。 b )   第 二 层 所 使 用 的 密 钥 来 自 于 P O S T 参 数 或 H T T P   c o o c k i e 。 c )   这 个 函 数 主 要 用 来 对 经 过 加 密 的 序 列 化 数 据 进 行 解 码 。 其 中 ， 序 列 化 数 据 是 攻 击 者 通 过 c o o k i e 或 P O S T 参 数 传 递 给 恶 意 脚 本 的 。 3 .   解 码 数 据 可 能 包 含 ： a )   可 执 行 的 P H P 代 码 。 b )   提 供 关 于 后 门 和 P H P 版 本 信 息 的 命 令 。 总 结 总 结 现 在 网 上 有 很 多 不 同 类 型 的 恶 意 软 件 ， 但 并 非 所 有 的 恶 意 软 件 都 是 直 接 通 过 脚 本 来 执 行 恶 意 命 令 的 。 比 如 说 在 这 个 样 本 中 ， 它 可 以 通 过 $ _ P O S T 或 $ _ C O O K I E 请 求 来 接 收 任 意 命 令 ， 而 W e b 服 务 器 默 认 是 不 会 记 录 这 种 行 为 的 。 为 了 防 止 网 站 被 恶 意 软 件 所 感 染 ， 我 们 强 烈 建 议 管 理 员 采 用 类 似 文 件 完 整 性 监 测 以 及 W e b 应 用 防 火 墙 （ W A F ） 等 安 全 措 施 。 除 此 之 外 ， 我 们 还 建 议 管 理 员 定 期 检 查 网 站 的 日 志 记 录 以 尽 早 地 发 现 可 疑 行 为 。 *   参 考 来 源 ： s u c u r i ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理