搜索

[12051] 2017-11-25_如何绕过现代ProcessHollowing检测机制

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-11-25_如何绕过现代ProcessHollowing检测机制 如 何 绕 过 现 代 P r o c e s s   H o l l o w i n g 检 测 机 制 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 1 - 2 5 P r o c e s s   H o l l o w i n g 技 术 简 介 技 术 简 介 P r o c e s s   H o l l o w i n g 是 现 代 恶 意 软 件 常 用 的 一 种 进 程 创 建 技 术 。 一 般 来 说 ， 使 用 是 现 代 恶 意 软 件 常 用 的 一 种 进 程 创 建 技 术 。 一 般 来 说 ， 使 用 P r o c e s s   H o l l o w i n g 技 术 所 创 建 出 技 术 所 创 建 出 来 的 进 程 在 使 用 任 务 管 理 器 之 类 的 工 具 进 行 查 看 时 ， 它 们 看 起 来 是 正 常 的 ， 但 是 这 种 进 程 中 包 含 的 所 码 实 际 上 来 的 进 程 在 使 用 任 务 管 理 器 之 类 的 工 具 进 行 查 看 时 ， 它 们 看 起 来 是 正 常 的 ， 但 是 这 种 进 程 中 包 含 的 所 码 实 际 上 就 是 恶 意 代 码 。 就 是 恶 意 代 码 。 这 种 技 术 可 以 对 运 行 中 的 进 程 进 行 动 态 修 改 ， 并 且 整 个 过 程 既 不 用 挂 起 进 程 ， 也 不 需 要 调 用 额 外 的 W i n d o w s   A P I ， 即 无 需 调 用 W r i t e P r o c e s s M e m o r y ,   Q u e u e U s e r A p c ,   C r e a t e R e m o t e T h r e a d 和 S e t T h r e a d C o n t e x t 。 近 期 ， 我 在 G i t H u b 上 发 布 了 一 款 P r o c e s s   H o l l o w i n g 封 装 工 具 （ R I S C y P a c k e r ） 。 虽 然 我 没 有 用 当 前 所 有 的 反 病 毒 产 品 对 本 工 具 进 行 测 试 ， 但 这 项 绕 过 技 术 应 该 是 不 会 被 检 测 到 的 。 我 在 本 文 末 尾 还 给 出 了 一 份 P o C 代 码 ， 感 兴 趣 的 同 学 可 以 通 过 分 析 代 码 来 了 解 其 工 作 机 制 。


R I S C y P a c k e r 下 载 地 址 ： 【 阅 读 原 文 】 工 作 机 制 工 作 机 制 目 前 ， 绝 大 多 数 P r o c e s s   H o l l o w i n g 技 术 的 工 作 机 制 如 下 ： 挂 起 进 程 ， 写 入 远 程 内 存 ， 修 改 内 容 （ S e t T h r e a d C o n t e x t / C r e a t e R e m o t e T h r e a d / Q u e u e U s e r A P C ） ， 然 后 恢 复 进 程 运 行 。 R I S C y P a c k e r 技 术 对 之 前 的 P r o c e s s H o l l o w i n g 技 术 进 行 了 优 化 ， 它 只 需 要 修 改 内 存 内 容 （ N t U n M a p V i e w O f S e c t i o n / N t M a p V i e w O f S e c t i o n ） 即 可 实 现 P r o c e s s H o l l o w i n g 。 首 先 ， 我 们 需 要 确 保 我 们 的 线 程 可 以 在 远 程 线 程 被 创 建 之 前 分 配 / 释 放 （ 映 射 内 存 ） 远 程 可 执 行 内 存 的 内 容 。 如 果 我 们 只 能 实 现 一 半 （ 例 如 只 能 释 放 内 存 内 容 ） ， 那 么 我 们 的 技 术 就 无 法 正 常 工 作 了 ， 因 为 线 程 在 创 建 之 后 线 程 的 E I P 将 指 向 空 内 容 。 幸 运 的 是 ， 我 们 可 以 利 用 线 程 的 优 先 级 和 亲 和 性 （ A f f i n i t y ） 来 帮 助 我 们 实 现 这 项 技 术 ： 使 用 高 优 先 级 创 建 本 地 线 程 ： 使 用 高 优 先 级 创 建 本 地 线 程 ： 将 远 程 进 程 的 线 程 优 先 级 设 为 低 优 先 级 ： 将 远 程 进 程 的 线 程 优 先 级 设 为 低 优 先 级 ： 线 程 的 亲 和 性 设 置 是 必 须 的 ， 因 为 多 核 处 理 器 可 能 会 影 响 最 终 设 置 的 进 程 计 划 优 先 级 。 通 过 设 置 不 同 的 优 先 级 ， 我 们 就 能 够 正 确 地 将 进 程 排 入 执 行 队 列 中 ， 并 在 远 程 线 程 访 问 内 存 之 前 对 远 程 内 容 的 内 容 进 行 修 改 。 R I S C y P a c k e r 的 的 P r o c e s s   H o l l o w i n g 技 术 流 程 图 如 下 所 示 技 术 流 程 图 如 下 所 示 :

其 中 ， 注 入 的 N O P 中 包 含 有 加 载 和 构 建 I A T 的 s h e l l c o d e ， 之 后 这 些 内 容 需 要 注 入 到 目 标 进 程 之 中 。 关 于 关 于 R I S C y P a c k e r 在 使 用 这 款 封 装 工 具 时 ， 有 几 点 需 要 大 家 注 意 的 。 首 先 ， 目 标 进 程 必 须 要 支 持 非 挂 起 状 态 下 的 注 入 。 有 些 进 程 会 在 你 尝 试 动 态 注 入 内 容 的 时 候 立 即 停 止 执 行 （ 例 如 x c o p y . e x e   w /   n o   a r g u m e n t s ） ， 因 此 我 们 就 无 法 对 这 类 进 程 实 现 注 入 了 。 注 ： 目 前 R I S C y P a c k e r 还 不 支 持 x 6 4 / T L S / E x p o r t s 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / R I S C Y B u s i n e s s / R I S C Y p a c k e r P o C 程 序 （ 密 码 为 “ n o t i n f e c t e d ” ） ：   h t t p : / / r i s c y . b u s i n e s s / w p - c o n t e n t / u p l o a d s / 2 0 1 7 / 1 1 / P O C . 7 z *   参 考 来 源 ： R I S C Y B U S I N E S S ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理