搜索

[12138] 2017-12-20_Meterpreter免杀及对抗分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-12-20_Meterpreter免杀及对抗分析 M e t e r p r e t e r 免 杀 及 对 抗 分 析 G r e e n _ m   F r e e B u f   2 0 1 7 - 1 2 - 2 0 * 本 文 作 者 ： G r e e n _ m ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 0 x 0 0   前 言 前 言 本 文 就 常 见 的 一 些 杀 毒 软 件 检 测 方 法 及 本 文 就 常 见 的 一 些 杀 毒 软 件 检 测 方 法 及 m e t e r p r e t e r 远 控 对 抗 杀 毒 软 件 的 思 路 进 行 了 一 些 介 绍 ， 相 关 内 容 可 以 参 远 控 对 抗 杀 毒 软 件 的 思 路 进 行 了 一 些 介 绍 ， 相 关 内 容 可 以 参 考 我 的 上 一 篇 文 章 考 我 的 上 一 篇 文 章 m e t e r p r e t e r 技 巧 分 享 【 阅 读 原 文 】 技 巧 分 享 【 阅 读 原 文 】 。 。 另 外 说 一 句 ， 另 外 说 一 句 ， m e t a s p l o i t 是 世 界 上 最 好 的 渗 透 测 试 工 具 是 世 界 上 最 好 的 渗 透 测 试 工 具 ! 0 x 0 1   静 态 检 测 与 对 抗 静 态 检 测 与 对 抗 静 态 分 析 原 理 静 态 分 析 原 理   简 单 的 来 说 ， 就 是 通 过 特 征 码 识 别 静 态 文 件 ， 杀 软 会 扫 描 存 在 磁 盘 上 的 镜 像 文 件 ， 如 果 满 足 特 征 码 ， 就 识 别 为 恶 意 软 件 。 恶 意 软 件 匹 配 规 则 y a r a 匹 配 恶 意 软 件 的 时 候 就 是 用 的 这 样 的 方 式 。 通 过 特 征 来 识 别 抓 H A S H 工 具 Q u a r k s P w D u m p ， y a r a 规 则 如 下 （ 查 看 原 文 )
可 以 看 到 匹 配 匹 配 $ s 1   $ s 2   $ s 3   $ s 4 全 部 四 条 规 则 及 标 记 为 识 别 。 当 然 还 有 通 过 m d 5 、 s h a 1 来 计 算 文 件 h a s h 识 别 恶 意 软 件 ， 最 简 单 粗 暴 而 且 有 效 ， 但 是 也 很 容 易 绕 过 ， 也 有 分 段 进 行 h a s h 来 识 别 相 似 度 的 方 法 ， 原 理 和 上 面 的 特 征 码 识 别 都 是 一 样 的 ， 这 里 不 再 赘 述 。 对 抗 静 态 分 析 对 抗 静 态 分 析 1 . 修 改 特 征 码 修 改 特 征 码 特 征 码 的 识 别 也 有 一 些 不 同 的 方 式 ， 最 开 始 是 使 用 单 个 特 征 码 来 定 位 ， 就 有 了 与 之 对 抗 的 c c l ， 随 着 对 抗 技 术 的 升 级 ， 就 有 了 多 条 的 特 征 码 ， 对 应 的 也 就 有 了 m u t i l c c l ,   m y c c l ,   v i r t e s t ， 甚 至 现 在 g i t h u b 上 的 自 动 化 特 征 码 识 别 ， 技 术 越 来 越 多 样 。 修 改 特 征 码 最 重 要 的 是 定 位 特 征 码 ， 但 是 定 位 了 特 征 码 修 改 后 并 不 代 表 程 序 就 能 正 常 运 行 ， 费 时 费 力 ， 由 于 各 个 杀 软 厂 商 的 特 征 库 不 同 ， 所 以 一 般 也 只 能 对 一 类 的 杀 软 起 效 果 。 虽 然 效 果 不 好 ， 但 有 时 候 在 没 有 源 码 的 情 况 下 可 以 一 用 。 虽 然 m e t e r p r e t e r 对 于 我 们 来 说 是 开 源 的 ， 但 是 偶 尔 编 译 出 来 的 文 件 修 改 一 些 小 地 方 就 能 让 杀 软 直 接 报 废 ， 也 算 是 一 个 保 留 方 法 吧 ， 这 里 限 于 篇 幅 我 就 不 贴 代 码 和 操 作 了 。 2 . 加 壳 加 壳 加 壳 虽 然 对 于 特 征 码 绕 过 有 非 常 好 的 效 果 ， 加 密 壳 基 本 上 可 以 把 特 征 码 全 部 掩 盖 ， 但 是 缺 点 也 非 常 的 明 显 ， 因 为 壳 自 己 也 有 特 征 。 在 某 些 比 较 流 氓 的 国 产 杀 软 的 检 测 方 式 下 ， 主 流 的 壳 如 V M P ,   T h e m i d a 等 ， 一 旦 被 检 测 到 加 壳 直 接 弹 框 告 诉 你 这 玩 意 儿 有 问 题 ， 虽 然 很 直 接 ， 但 是 还 是 挺 有 效 的 。 有 些 情 况 下 ， 有 的 常 见 版 本 的 壳 会 被 直 接 脱 掉 分 析 。 面 对 这 种 情 况 可 以 考 虑 用 一 切 冷 门 的 加 密 壳 ， 有 时 间 精 力 的 可 以 基 于 开 源 的 压 缩 壳 改 一 些 源 码 ， 效 果 可 能 会 很 不 错 。 总 得 来 说 ， 加 壳 的 方 式 来 免 杀 还 是 比 较 实 用 的 ， 特 别 是 对 于 不 开 源 的 P E 文 件 ， 通 过 加 壳 可 以 绕 过 很 多 特 征 码 识 别 。 3 . s h e l l c o d e   编 译 编 译 m e t a s p l o i t 是 我 认 为 世 界 上 最 好 用 的 渗 透 测 试 工 具 。 m s f v e n o m 不 仅 提 供 多 种 格 式 的 p a y l o a d ， 其 中 就 包 括 s h e l l c o d e 。 s h e l l c o d e 对 于 源 码 免 杀 来 说 基 本 上 是 最 好 用 的 那 种 ， 绕 过 静 态 杀 软 的 神 器 。 s h e l l c o d e 编 译 的 具 体 方 式 请 参 考 我 之 前 的 文 章 m e t e r p r e t e r 技 巧 分 享 ， 这 里 不 再 赘 述 。 使 用 m s f v e n o m 选 择 e n c o d e r 的 时 候 大 家 一 般 都 会 选 择 s h i k a t a _ g a _ n a i 这 个 编 码 方 式 （ 因 为 x 8 6 的 e n c o d e r 里 只 有 它 的 R a n k 是 e x c e l l e n t ） ， 这 个 e n c o d e r 的 解 码 和 编 码 过 程 都 是 随 机 生 成 的 。 （ 编 码 过 程 可 参 考 源 码 ） 。 但 是 ， 这 个 编 码 内 容 是 有 特 征 的 ， 经 过 s h i k a t a _ g a _ n a i   编 码 之 后 的 s h e l l c o d e 必 定 含 有 x d 9 x 7 4 x 2 4 x f 4   这 串 1 6 进 制 字 符 ， 我 写 了 一 个 y a r a 规 则 可 以 轻 松 检 测 到 由   s h i k a t a _ g a _ n a 编 码 的 s h e l l c o d e ， 规 则 如 下 ：
测 试 结 果 如 图 ： 当 然 不 止 是   s h i k a t a _ g a _ n a   编 码 方 式 ， 其 他 的 编 码 方 式 特 征 可 能 更 加 明 显 （ x 8 6 / f n s t e n v _ m o v   的 编 码 方 式 就 被 很 多 杀 软 能 直 接 检 测 到 ， 远 不 如   s h i k a t a _ g a _ n a ） 。 那 么 如 果 要 对 抗 这 样 的 情 况 ， 只 能 自 己 再 将 编 码 过 后 的 s h e l l c o d e 进 行 编 码 或 者 加 密 。 我 这 里 写 一 个 简 单 的 x o r 作 为 d e m o 供 大 家 感 受 一 下 ， 代 码 如 下 ：
4 . s h e l l c o d e 植 入 后 门 植 入 后 门 目 前 有 不 少 文 章 和 工 具 都 提 供 了 植 入 后 门 的 方 法 。 例 如 s h e l l t e r ， ， t h e - b a c k d o o r - f a c t o r y ， 工 具 的 功 能 都 很 强 大 。 这 里 介 绍 一 下 手 动 在 c o d e   c a v e （ 代 码 间 隙 ） 植 入 后 门 的 方 法 ， 整 体 流 程 如 图 ： 其 中 比 较 关 键 的 部 分 是 调 整 堆 栈 平 衡 ， 通 过 s u b   e s p ,   或 者 a d d   e s p ,   来 调 整 堆 栈 ， 否 则 执 行 完 p a y l o a d 后 的 正 常 程 序 会 崩 溃 。 如 果 没 有 适 合 大 小 的 c o d e   c a v e 或 者 p a y l o a d   的 非 常 大 ， 这 个 时 候 可 能 需 要 多 个 c o d e   c a v e 一 起 使 用 ， 关 键 部 分 如 下 图 流 程
还 可 以 结 合 上 一 部 分 的 编 码 或 加 密 ， 免 杀 效 果 很 好 ， 大 部 分 的 杀 软 都 直 接 G G   . 5 . 多 平 台 多 语 言 多 平 台 多 语 言 同 一 种 编 译 器 生 成 的 P E 文 件 在 某 些 区 段 上 是 有 相 同 或 相 近 的 二 进 制 字 节 的 ， 杀 软 在 收 集 同 一 方 式 生 成 的 大 量 木 马 后 ， 很 容 易 就 将 这 些 P E 文 件 的 特 征 提 取 出 来 加 以 识 别 （ 例 如 现 在 m s f v e n o m 直 接 生 成 的 e x e 就 是 这 样 的 ） 。 因 此 ， 通 过 更 改 编 译 环 境 ， 让 被 识 别 的 特 征 码 改 变 ， 达 到 免 杀 的 目 的 ， 改 变 语 言 也 是 同 样 的 思 路 。 l i n u x 下 的 跨 编 译 器 有 m i n g w - w 6 4 ,   t d m - g c c 等 ， v e i l - e v a s i o n 的 c 语 言 编 译 器 是 用 的 m i n g w 6 4 ， 而 A V E T 的 编 译 器 用 的 是 t d m - g c c ， 最 开 始 使 用 时 效 果 还 是 不 错 的 ， 用 得 多 了 杀 软 开 始 有 意 的 提 取 这 些 编 译 器 编 译 后 的 特 征 码 ， 就 被 一 杀 一 个 准 了 。 v e i l 作 为 一 个 持 续 更 新 的 免 杀 框 架 ， 利 用 多 种 语 言 进 行 编 译 ， 来 实 现 绕 过 特 征 码 免 杀 的 目 的 ， 使 用 的 语 言 包 括 c ,   p y t h o n , r u b y ,   p e r l ,   p o w e r s h e l l ,     c # ,   g o   等 ， 再 通 过 p y t o e x e 或 者   p y w i n 3 2 来 转 换 p y t h o n 代 码 成 e x e ， 来 保 持 自 己 木 马 的 多 样 性 （ p a y l o a d 生 成 源 码 【 阅 读 原 文 】 ） 。 当 然 还 有 更 猥 琐 的 方 式 ， 如 转 换 成 j s , p h p , s c t 等 非 编 译 型 语 言 执 行 ， 这 里 就 不 详 细 展 开 了 ， 有 兴 趣 的 自 己 去 了 解 。 6 . 小 结 小 结 静 态 免 杀 大 概 就 这 样 方 法 ， 有 时 候 需 要 结 合 多 种 方 法 一 起 使 用 ， 当 然 在 没 有 源 码 的 前 提 下 一 般 都 采 用 第 一 种 和 第 二 种 方 法 ， 当 然 也 可 以 考 虑 反 汇 编 加 花 加 空 等 修 改 源 码 ， 这 样 需 要 投 入 更 多 的 时 间 和 精 力 ， 也 对 操 作 者 有 更 高 的 技 能 要 求 。 0 x 0 2   流 量 检 测 与 对 抗 流 量 检 测 与 对 抗 1 . M e t e r p r e t e r 的 传 输 加 载 的 传 输 加 载   要 知 道 m e t e r p r e t e r 的 流 量 特 征 ， 首 先 要 搞 清 楚 m e t e r p r e t e r 的 传 输 方 式 。 m e t a s p l o i t 的 木 马 分 为 两 个 大 类 ， s t a g e d   和 s t a g e l e s s   。 s t a g e d 类 型 的 木 马 的 运 行 流 程 为 ： 客 户 端 在 从 服 务 器 端 接 收 客 户 端 在 从 服 务 器 端 接 收 s t a g e r 后 ， 后 ， s t a g e r 由 引 导 代 码 由 引 导 代 码 l o a d e r 和 和 p a y l o a d 组 成 ， 客 户 端 在 内 存 中 分 配 一 段 地 址 将 组 成 ， 客 户 端 在 内 存 中 分 配 一 段 地 址 将 p a y l o a d 暂 存 起 来 ， 再 通 过 暂 存 起 来 ， 再 通 过 l o a d e r 来 加 载 内 存 中 的 来 加 载 内 存 中 的 p a y l o a d 。 这 种 内 存 中 注 入 。 这 种 内 存 中 注 入 P E 文 件 的 方 式 称 为 反 射 型 文 件 的 方 式 称 为 反 射 型 D L L 注 注 入 。 入 。     s t a g e l e s s 的 则 是 将 完 整 的 p a y l o a d 都 编 译 在 木 马 中 ， 相 对 与 s t a g e d 的 木 马 来 说 ， 前 者 体 积 庞 大 不 灵 活 ， 而 且 容 易 被 杀 。 我 们 以 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p 为 例 ， 下 面 是 部 分 源 码 （ 完 整 源 码 阅 读 原 文 ）
a s m _ b l o c k _ a p i   部 分 是 用 来 定 义 查 询 A P I 调 用 地 址 的 函 数 。 a s m _ r e v e r s e _ t c p   部 分 是 用 来 发 送 s o c k e t 请 求 的 。 a s m _ b l o c k _ r e c v   部 分 是 建 立 连 接 后 ， 接 收 服 务 端 发 送 的 s t a g e r ， 再 通 过   V i r t u a l A l l o c ( )   分 配 R W X 权 限 的 内 存 ， 然 后 执 行 后 续 。 那 么 大 家 可 以 看 到 ， 这 部 分 建 客 户 端 发 起 连 接 的 过 程 其 实 是 没 有 什 么 特 征 的 ， 特 征 主 要 是 在 服 务 端 发 送 的 s t a g e r ， 接 下 来 让 我 们 详 细 看 看 发 送 的 s t a g e r 里 是 什 么 。 为 了 让 客 户 端 运 行 服 务 端 发 送 的 m e t e r p r e t e r   p a y l o a d ， 需 要 先 发 送 一 个 加 载 m e t e r p r e t e r _ l o a d e r ， 这 个 引 导 代 码 的 源 码 如 下 （ 完 整 源 码 地 址 ） ：
这 段 代 码 主 要 作 用 是 加 载 反 射 性 注 入 的 引 导 代 码 R e f l e c t i v e L o a d e r ， 通 过 R e f l e c t i v e L o a d e r 来 加 载 m e t e r p r e t e r 及 相 关 配 置 。 由 于 篇 幅 原 因 ， 这 里 我 们 不 深 究 反 射 性 注 入 的 详 细 加 载 方 式 ， 知 道 大 概 原 理 即 可 ， 如 果 有 兴 趣 可 以 阅 读 源 码 理 解 。   2 . M e t e r p r e t e r 检 测 检 测   这 段 m e t e r p r e t e r _ l o a d e r 是 固 定 的 一 段 汇 编 代 码 ， 通 过 n a s m 将 该 部 分 汇 编 代 码 转 化 为 机 器 码 如 下 （ 可 能 随 环 境 变 化 ） ： 该 1 6 进 制 字 符 串 即 为 m e t e r p r e t e r 的 特 征 。 为 了 验 证 思 路 ， 通 过 抓 取 流 量 来 查 看 发 送 的 p a y l o a d ， 可 以 看 到 传 输 后 发 送 的 p a y l o a d 最 开 始 的 部 分 就 是 上 面 的 机 器 码 ， 如 图 所 示 ： 编 写 一 个 y a r a 规 则 来 测 试 是 否 能 检 测 到 （ y a r a 除 了 能 检 测 静 态 P E 格 式 文 件 ， 也 能 检 测 流 量 文 件 ， 当 然 你 也 可 以 使 用 s n o r t ） ， 规 则 如 下 ：   用 y a r a 检 测 传 输 的 流 量 包 ， 瞬 间 检 测 到 ， 如 图 所 示 ：
注 ： 如 果 用 该 y a r a 规 则 直 接 检 测 进 程 中 的 内 存 的 话 ， 不 管 流 量 怎 么 加 密 最 终 都 会 解 密 ， 然 后 被 y a r a 检 测 到 m e t e r p r e t e r _ l o a d e r ， 除 了 效 率 较 低 之 外 ， 能 绕 过 就 只 能 靠 修 改 源 码 了 。 这 里 限 于 篇 幅 限 制 ， 其 他 p a y l o a d 的 流 量 特 征 请 各 位 看 官 自 己 去 摸 索 测 试 ， 这 里 就 不 多 浪 费 篇 幅 。 3 . 对 抗 流 量 检 测 对 抗 流 量 检 测   既 然 流 量 是 有 特 征 的 ， 那 么 有 没 有 办 法 对 流 量 进 行 加 密 呢 ， 答 案 是 肯 定 的 ， 通 过 在 服 务 端 设 置 效 果 如 图 所 示 ， （ 当 然 这 里 的 s t a g e r e n c o d e r 可 以 任 意 选 ） 发 送 出 去 的 s t a g e r 就 被 编 码 过 了 ， 从 流 量 看 都 是 被 编 码 过 的 数 据 ， 看 不 出 来 任 何 特 征 ， 如 图 ： 如 果 你 觉 得 这 种 对 流 量 进 行 编 码 的 方 式 也 不 够 保 险 ， 那 么 m s f 还 提 供 了 偏 执 模 式 （ p a r a n o i d - m o d e ） ， 可 以 用 证 书 对 流 量 进 行 加 密 。 具 体 操 作 方 法 可 以 参 考 官 方 文 档 或 者 我 的 博 客 。 0 x 0 3   动 态 监 测 对 抗 动 态 监 测 对 抗 静 态 检 测 和 流 量 监 测 都 说 到 了 ， 接 下 来 我 们 说 如 何 对 抗 沙 盒 。 要 做 到 完 全 对 抗 沙 盒 工 程 量 是 很 大 的 ， 这 里 我 们 只 讲 一 些 猥 琐 的 小 技 巧 来 骗 过 杀 软 的 沙 盒 分 析 。 杀 毒 软 件 最 大 的 问 题 就 是 面 对 成 千 上 万 的 文 件 ， 如 何 最 快 速 度 的 扫 描 完 所 有 的 文 件 ， 而 不 浪 费 大 量 的 性 能 在 单 个 文 件 上 （ 在 扫 描 过 程 中 把 机 器 卡 死 是 相 当 糟 糕 的 体 验 ） 。 要 做 到 这 个 ， 需 要 在 大 量 的 文 件 中 进 行 合 理 的 取 舍 。 1 . s l e e p  
在 很 早 的 对 抗 杀 软 的 技 术 中 ， 通 过 一 个 s l e e p ， 占 用 大 量 的 时 间 ， 就 能 够 绕 过 杀 软 的 动 态 分 析 ， 当 然 现 在 这 样 肯 定 是 不 行 的 了 。 推 测 杀 软 会 h o o k   系 统 s l e e p 函 数 ， 然 后 直 接 略 过 ， 直 接 后 面 的 代 码 ， 这 样 是 最 聪 明 和 省 事 儿 的 方 法 了 。 为 了 验 证 想 法 ， 我 们 通 过 一 段 代 码 来 测 试 一 下 。 为 了 除 去 别 的 容 易 干 扰 的 因 素 ， 我 选 择 使 用 固 定 的 一 种 编 译 器 对 s h e l l c o d e 进 行 编 译 。 直 接 编 译 生 成 ， v i r u s t o t a l 的 结 果 如 下 ， 1 9 / 6 7 添 加 如 下 的 代 码 之 后 再 进 行 检 测 ： 检 测 1 6 / 6 6     虽 然 只 减 少 了 3 个 ， 不 过 也 说 明 部 分 杀 软 还 是 吃 这 一 套 。 。 2 . N U M A N U M A 代 表 N o n   U n i f o r m   M e m o r y   A c c e s s （ 非 一 致 内 存 访 问 ） 。 它 是 一 个 在 多 系 统 中 配 置 内 存 管 理 的 方 法 。 它 与 定 义 在 K e r n e l 3 2 . d l l 中 所 有 一 系 列 函 数 连 接 在 一 起 。 更 多 的 信 息 可 以 参 考 官 方 文 档 ： h t t p : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / w i n d o w s / d e s k t o p / a a 3 6 3 8 0 4 ( v = v s . 8 5 ) . a s p x 代 码 如 下 ：
检 测 结 果 1 7 / 6 7 ， 又 少 了 两 个 。 3 . 总 结 总 结   这 里 截 图 的 效 果 不 好 主 要 是 因 为 s t a g e r d   m e t e r p r e t e r 是 没 有 什 么 行 为 的 ， 主 要 是 靠 静 态 查 杀 ， 如 果 行 为 明 显 那 么 这 些 方 法 还 是 能 起 到 不 少 的 效 果 。 还 有 很 多 其 他 的 一 些 技 巧 ， 由 于 篇 幅 原 因 就 不 过 多 的 介 绍 了 。 有 兴 趣 可 以 参 考 维 基 解 密 。 0 x 0 4   结 语 结 语 最 近 老 有 兄 弟 跟 我 交 流 免 杀 的 事 情 ， 尤 其 是 m e t e r p r e t e r 的 免 杀 方 式 ， 花 了 点 时 间 研 究 并 写 下 了 这 篇 文 章 ， 希 望 各 位 读 者 能 够 有 所 收 获 。 如 果 你 有 任 何 问 题 欢 迎 与 我 交 流 ， 博 客 或 者 微 博   都 可 以 。 最 后 ， M e t a s p l o i t 是 世 界 上 最 好 的 渗 透 测 试 工 具 ！ 参 考 资 料 【 阅 读 原 文 】 参 考 资 料 【 阅 读 原 文 】 * 本 文 作 者 ： G r e e n _ m ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理