搜索

[12491] 2018-03-21_控制流程完整性：给大家介绍一种“另类”的Javascript反分析技术

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-03-21_控制流程完整性：给大家介绍一种“另类”的Javascript反分析技术 控 制 流 程 完 整 性 ： 给 大 家 介 绍 一 种 “ 另 类 ” 的 J a v a s c r i p t 反 分 析 技 术 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 3 - 2 1 写 在 前 面 的 话 写 在 前 面 的 话 理 解 恶 意 软 件 的 真 实 代 码 对 恶 意 软 件 分 析 人 员 来 说 是 非 常 有 优 势 的 ， 因 为 这 样 才 能 够 真 正 了 解 恶 意 软 件 所 要 做 理 解 恶 意 软 件 的 真 实 代 码 对 恶 意 软 件 分 析 人 员 来 说 是 非 常 有 优 势 的 ， 因 为 这 样 才 能 够 真 正 了 解 恶 意 软 件 所 要 做 的 事 情 。 但 不 幸 的 是 ， 我 们 并 不 总 是 能 够 得 到 的 事 情 。 但 不 幸 的 是 ， 我 们 并 不 总 是 能 够 得 到 “ 真 实 真 实 ” 的 代 码 ， 有 时 恶 意 软 件 分 析 人 员 可 能 需 要 类 似 反 汇 编 工 具 的 代 码 ， 有 时 恶 意 软 件 分 析 人 员 可 能 需 要 类 似 反 汇 编 工 具 或 调 试 器 之 类 的 东 西 才 能 或 调 试 器 之 类 的 东 西 才 能 “ 推 测 推 测 ” 出 恶 意 软 件 的 真 实 行 为 。 不 过 ， 当 恶 意 软 件 使 用 的 是 出 恶 意 软 件 的 真 实 行 为 。 不 过 ， 当 恶 意 软 件 使 用 的 是 “ 解 释 型 语 言 解 释 型 语 言 ” 开 发 的 话 ， 开 发 的 话 ， 例 如 例 如 J a v a 、 、 J a v a S c r i p t 、 、 V B S 或 或 . N E T 等 等 ， 我 们 就 有 很 多 种 方 法 来 查 看 它 们 真 正 的 原 始 代 码 了 。 等 等 ， 我 们 就 有 很 多 种 方 法 来 查 看 它 们 真 正 的 原 始 代 码 了 。 不 幸 的 是 ， 攻 击 者 同 样 知 道 这 些 分 析 技 术 ， 而 且 为 了 规 避 安 全 分 析 ， 他 们 还 会 采 用 很 多 混 淆 技 术 来 干 扰 研 究 人 员 的 分 析 过 程 。 攻 击 者 可 以 利 用 反 分 析 技 术 来 判 断 恶 意 代 码 是 否 在 虚 拟 机 环 境 中 运 行 ， 或 者 让 自 己 的 代 码 只 在 特 定 环 境 中 运 行 以 避 免 调 试 以 及 逆 向 分 析 环 境 （ 包 括 反 混 淆 ） ， 而 今 天 我 们 要 讨 论 了 就 是 一 种 基 于 J a v a S c r i p t 的 新 型 反 逆 向 分 析 技 术 。 J a v a S c r i p t 正 邪 对 垒 正 邪 对 垒 对 于 攻 击 者 来 说 ， J a v a S c r i p t 已 经 变 成 一 种 非 常 重 要 的 攻 击 向 量 了 。 它 一 般 用 于 攻 击 的 P a y l o a d 感 染 阶 段 ， 它 的 使 用 非 常 多 样 化 ， 编 码 形 式 也 不 像 其 他 语 言 那 样 受 到 各 种 限 制 ， 而 且 几 乎 所 有 的 恶 意 J a v a S c r i p t 代 码 都 会 进 行 混 淆 处 理 。 下 图 显 示 的 是 一 个 经 过 了 混 淆 处 理 的 J a v a S c r i p t P a y l o a d 样 本 ：
对 于 恶 意 软 件 分 析 人 员 来 说 ， 第 一 步 就 是 要 对 这 种 代 码 进 行 反 混 淆 处 理 。 从 最 简 单 的 复 制 粘 贴 ， 到 更 强 大 一 点 的 “ 脚 本 替 换 ” （ 涉 及 函 数 和 变 量 的 重 命 名 ） ， 研 究 人 员 需 要 想 方 设 法 让 代 码 更 加 清 晰 。 但 是 在 J a v a S c r i p t 中 ， 我 们 可 以 根 据 函 数 名 的 调 用 情 况 来 了 解 函 数 的 运 行 机 制 。 比 如 说 函 数 a r g u m e n t s . c a l l e e . c a l l e r ( ) ， 在 这 个 函 数 的 帮 助 下 ， 我 们 可 以 创 建 一 个 堆 栈 跟 踪 ， 并 将 执 行 过 的 函 数 按 照 顺 序 存 储 在 列 表 中 。 获 取 到 函 数 名 之 后 ， 我 们 就 可 以 将 它 们 当 作 密 钥 来 对 处 理 过 的 J a v a S c r i p t 代 码 进 行 动 态 “ 解 密 ” 了 。 这 项 技 术 可 以 让 我 们 得 到 隐 式 的 控 制 流 完 整 性 ， 因 为 如 果 一 个 函 数 被 重 命 名 或 者 函 数 运 行 顺 序 发 生 了 变 化 ， 那 么 “ 结 果 哈 希 ” 肯 定 是 不 同 的 。 如 果 哈 希 不 同 ， 生 成 的 密 钥 也 就 不 同 ， 这 样 就 可 以 进 行 解 密 并 运 行 经 过 特 殊 加 密 的 代 码 了 。 为 了 让 大 家 更 清 楚 地 了 解 我 在 说 什 么 ， 请 大 家 看 看 下 面 这 段 没 有 经 过 混 淆 处 理 的 样 本 代 码 【 查 看 原 始 代 码 】 ：
代 码 运 行 过 程 中 会 对 “ 特 定 内 容 ” 进 行 计 算 （ e v a l ( ) 函 数 ） ， 在 代 码 的 第 2 1 和 2 5 行 ， 函 数 c o w 0 0 1 ( ) 和 p y t h 0 0 1 ( ) 会 计 算 X O R 后 的 解 密 内 容 。 x o r _ d e c r y p t 函 数 可 以 接 收 两 个 参 数 ： d e c o d i n g _ k e y 和 需 要 解 密 的 P a y l o a d 。 接 下 来 ， 代 码 会 使 用 a r g u m e n t s . c a l l e e . n a m e ( ) 函 数 来 将 内 部 阶 段 的 每 一 个 函 数 名 当 作 解 密 密 钥 来 使 用 ， 如 果 函 数 名 是 “ 原 始 函 数 名 ” （ 攻 击 者 用 来 解 密 P a y l o a d 的 函 数 名 ） ， 那 么 加 密 后 的 代 码 就 会 正 常 运 行 ， 不 会 报 错 。 换 句 话 说 ， 如 果 函 数 名 经 过 了 重 命 名 ， 那 么 e v a l ( ) 函 数 将 得 到 错 误 的 结 果 ， 并 导 致 攻 击 者 转 换 代 码 运 行 路 径 （ 使 用 简 单 的 t r y   c a t c h 语 句 ） 。 在 使 用 J a v a S c r i p t 代 码 实 施 攻 击 之 前 ， 攻 击 者 需 要 开 发 恶 意 J a v a S c r i p t 代 码 并 对 其 进 行 混 淆 处 理 ， 这 样 才 能 准 备 好 所 谓 的 “ 攻 击 路 径 ” 。 代 码 混 淆 的 过 程 中 ， 攻 击 者 需 要 使 用 额 外 的 脚 本 （ 比 如 说 下 面 这 段 代 码 - 【 查 看 原 始 代 码 】 ） 并 根 据 混 淆 后 的 函 数 名 来 加 密 P a y l o a d ， 然 后 用 新 加 密 的 P a y l o a d 替 换 之 前 的 代 码 （ 加 密 后 的 P a y l o a d 就 是 加 密 函 数 名 所 使 用 的 密 钥 ） 。
总 结 总 结 现 在 ， 攻 击 者 就 可 以 使 用 自 己 设 计 的 控 制 流 来 编 写 J a v a S c r i p t 代 码 了 。 如 果 攻 击 者 不 停 地 迭 代 实 现 这 种 技 术 ， 他 基 本 上 就 可 以 完 全 规 避 逆 向 工 程 分 析 技 术 了 。 希 望 本 文 的 内 容 可 以 给 大 家 的 安 全 研 究 带 来 灵 感 ！ *   参 考 来 源 ： m a r c o r a m i l l i ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理