搜索

[12798] 2018-06-07_技术讨论Windows10进程镂空技术（木马免杀）

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-18
2018-06-07_技术讨论Windows10进程镂空技术（木马免杀） 技 术 讨 论   |   W i n d o w s   1 0 进 程 镂 空 技 术 （ 木 马 免 杀 ） 河 马 安 全 网   F r e e B u f   2 0 1 8 - 0 6 - 0 7 前 言 前 言 在 在 W i n 1 0   x 6 4 环 境 下 替 换 正 常 的 进 程 ， 是 一 个 比 较 高 超 的 技 术 。 使 用 该 技 术 ， 可 以 内 存 执 行 病 毒 、 木 马 。 在 文 环 境 下 替 换 正 常 的 进 程 ， 是 一 个 比 较 高 超 的 技 术 。 使 用 该 技 术 ， 可 以 内 存 执 行 病 毒 、 木 马 。 在 文 件 层 面 实 现 免 杀 。 可 以 把 一 个 木 马 使 用 件 层 面 实 现 免 杀 。 可 以 把 一 个 木 马 使 用 D E S 加 密 ， 放 在 资 源 里 。 执 行 时 ， 从 资 源 里 释 放 出 来 ， 在 内 存 里 进 行 加 密 ， 放 在 资 源 里 。 执 行 时 ， 从 资 源 里 释 放 出 来 ， 在 内 存 里 进 行 D E S 解 密 ， 注 入 到 一 个 系 统 的 进 程 中 。 解 密 ， 注 入 到 一 个 系 统 的 进 程 中 。 环 境 环 境 1 .   V i s u a l S t u d i o   2 0 1 5   企 业 版 2 .   普 通 程 序   N o t e p a d . e x e   ( C : w i n d o w s s y s t e m 3 2 N o t e p a d . e x e ) 3 .   木 马 程 序   M a l W a r e . e x e 4 .   源 码 下 载 地 址 ， h t t p : / / w w w . i s a f e . c c / a r t i c l e . a s p ? i d = 7 7 5 .   E X E 下 载 地 址 ， h t t p : / / w w w . i s a f e . c c / a r t i c l e . a s p ? i d = 7 7 步 骤 步 骤 创 建 一 个 挂 起 的 进 程 n o t e p a d . e x e - > 读 取 线 程 上 下 文 - > 读 取 进 程 内 存 - > 读 取 N o t e p a d . e x e 原 始 入 口 点 - > 卸 载 N o t e p a d . e x e 占 用 的 内 存 - > 将 M a l W a r e . e x e 二 进 制 放 入 内 存 缓 冲 区 - > 在 N o t e p a d . e x e 进 程 中 分 配 一 个 内 存 空 间 - > 将 M a l W a r e . e x e 注 入 到 N o t e p a d . e x e 的 进 程 里 - > 修 改 N o t e p a d . e x e 的 区 段 - > 修 改 N o t e p a d . e x e 的 入 口 点 - > 恢 复 主 线 程 - > 成 功 注 入 。
代 码 实 现 代 码 实 现 一 一 . 创 建 一 个 挂 起 的 进 程 创 建 一 个 挂 起 的 进 程 n o t e p a d . e x e a . )   l p A p p l i c a t i o n N a m e   这 个 参 数 是 可 执 行 文 件 的 路 径 。 例 如 b . )   l p C o m m a n d L i n e   这 个 表 示 应 用 程 序 的 参 数 。 例 如   - a n c . )   l p P r o c e s s A t t r i b u t e s   进 程 属 性 结 构 体 变 量 d . )   l p T h r e a d A t t r i b u t e s   线 程 属 性 结 构 体 变 量 e . )   b I n h e r i t H a n d l e s   指 定 当 前 进 程 内 句 柄 不 可 以 被 子 进 程 继 承 f . )   d w C r e a t i o n F l a g s   进 程 创 建 标 识 符 ， C R E A T E _ S U S P E N E D E   表 示 创 建 一 个 挂 起 的 进 程 。 g . )   l p E n v i r o n m e n t   指 向 一 个 新 进 程 的 环 境 块 。 如 果 此 参 数 为 空 ， 新 进 程 使 用 调 用   进 程 的 环 境 。 c : p r o g r a m f i l e s s u b   d i r p r o g r a m . e x e c : p r o g r a m   f i l e s a . e x e n e t s t a t
h . )   l p C u r r e n t D i r e c t o r y   指 向 一 个 以 N U L L 结 尾 的 字 符 串 ， 这 个 字 符 串 用 来 指 定 子 进 程 的   工 作 路 径 。 这 个 字 符 串 必 须 是 一 个 包 含 驱 动 器 名 的 绝 对 路 径 。 如 果 这 个 参 数 为 N U L L ， 新 进 程 将 使 用 与 调 用 进 程 相 同 的 驱 动 器 和 目 录 。 i . )   l p S t a r t u p I n f o   指 向 一 个 用 于 决 定 新 进 程 的 主 窗 体 如 何 显 示 的 S T A R T U P I N F O 结   构 体 。 j . )   l p P r o c e s s I n f o r m a t i o n 保 存 进 程 所 有 信 息 的 结 构 体 变 量 。 C r e a t e P r o c e s s 函 数 用 于 创 建 一 个 进 程 ， c A p p N a m e 为 C : W i n d o w s n o t e p a d . e x e ， 是 程 序 文 件 的 路 径 ， 第 6 个 参 数 为 C R E A T E _ S U S P E N D E D ， 表 示 创 建 一 个 挂 起 的 进 程 。 最 后 2 个 参 数 s i ， p i 保 存 了 进 程 的 相 关 信 息 ( 进 程 的 句 柄 ， 线 程 的 句 柄 等 ) 。 二 二 .   读 取 线 程 上 下 文 读 取 线 程 上 下 文 G e t T h r e a d C o n t e x t 函 数 用 于 获 取 线 程 上 下 文 。 P i . h T h r e a d 为 线 程 句 柄 ， c o n t e x t 线 程 信 息 结 构 体 。 三 三 .   读 取 读 取 N o t e p a d . e x e 原 始 入 口 点 原 始 入 口 点 R e a d P r o c e s s M e m o r y 函 数 用 于 读 取 另 一 个 进 程 的 内 存 。 这 里 d w V i c t i m B a s e A d d r 存 放 读 取 的 数 据 ， 大 小 为 4 个 字 节 。 原 型 第 一 个 参 数 h P r o c e s s ， 要 读 取 的 进 程 句 柄 。 第 二 个 参 数 l p B a s e A d d r e s s ， 要 读 取 的 进 程 的 内 存 首 址 。 开 始 地 址 。 第 三 个 参 数 l p B u f f e r ， 接 收 数 据 内 容 的 缓 冲 区 。 第 四 个 参 数   n S i z e ， 从 内 存 中 读 取 的 字 节 数 。 第 五 个 参 数 l p N u m b e r O f B y t e s R e a d ， 已 经 读 取 的 字 节 数 。 函 数 返 回 0 表 示 调 用 失 败 。 四 四 .   卸 载 卸 载 N o t e p a d . e x e 占 用 的 内 存 占 用 的 内 存 p f n N t U n m a p V i e w O f S e c t i o n 函 数 用 于 卸 载 进 程 占 用 的 内 存 五 五 .   在 在 N o t e p a d . e x e 进 程 中 分 配 一 个 内 存 空 间 进 程 中 分 配 一 个 内 存 空 间 V i r t u a l A l l o c E x 函 数 用 于 在 指 定 进 程 中 分 配 一 个 内 存 空 间 。 函 数 原 型 ： 第 一 个 参 数 h P r o c e s s ， 需 要 在 其 中 分 配 空 间 的 进 程 的 句 柄 。
第 二 个 参 数 l p A d d r e s s ， 分 配 的 内 存 首 址 。 第 三 个 参 数   d w S i z e ， 分 配 的 内 存 大 小 。 第 四 个 参 数 f l A l l o c a t i o n T y p e ， 内 存 区 域 的 类 型 。 第 五 个 参 数 f l P r o t e c t ， 内 存 保 护 属 性 。 六 六 .   将 将 M a l W a r e . e x e 注 入 到 注 入 到 N o t e p a d . e x e 的 进 程 里 ， 修 改 的 进 程 里 ， 修 改 N o t e p a d . e x e 的 区 段 和 的 区 段 和 P E 文 件 头 文 件 头 W r i t e P r o c e s s M e m o r y 函 数 用 于 向 N o t e p a d . e x e 进 程 写 入 任 何 数 据 。 函 数 原 型 ： 第 一 个 参 数 h P r o c e s s ， 待 操 作 的 进 程 句 柄 。 第 二 个 参 数   l p B a s e A d d r e s s ， 要 写 入 数 据 的 起 始 地 址 。 第 三 个 参 数 l p B u f f e r ， 要 写 入 数 据 的 缓 冲 区 首 址 。 第 四 个 参 数   n S i z e ，   要 写 入 数 据 的 长 度 。 第 五 个 参 数 l p N u m b e r O f B y t e s W r i t t e n ， 已 写 入 的 数 据 长 度 。 七 七 .   修 改 修 改 N o t e p a d . e x e 的 入 口 点 的 入 口 点   R C X 存 放 的 是 入 口 点 。 存 放 的 是 入 口 点 。 八 八 .   恢 复 主 线 程 恢 复 主 线 程 S e t T h r e a d C o n t e x t ( ) 函 数 用 于 恢 复 线 程 上 下 文 ， 这 里 指 定 了 新 的 入 口 点 地 址   R c x R e s u m e T h r e a d   ( ) 函 数 用 于 启 动 挂 起 的 线 程 。 编 译 为 编 译 为 E X E 必 须 用 V i s u a l   S t u d i o   2 0 1 5 进 行 编 译 。 源 码 下 载 ( h t t p : / / w w w . i s a f e . c c / a r t i c l e . a s p ? i d = 7 7 )
在 “ 解 决 方 案 资 源 管 理 器 ” 中 ， 右 键 - > 重 新 生 成 在 输 出 窗 口 中 看 到 成 功 1 个 ( 注 意 这 里 生 成 的 是 一 个 R e l e a s e 版 的 6 4 位 程 序 )
M a l W a r e . e x e 编 译 为 编 译 为 E X E 源 码 下 载 ( h t t p : / / w w w . i s a f e . c c / a r t i c l e . a s p ? i d = 7 7 ) 打 开 V S 2 0 1 5 ， 点 击 菜 单 [ 文 件 ] - > [ 打 开 ] - > [ 项 目 / 解 决 方 案 ] 。 打 开 M a l w a r e . v c x p r o j 工 程 文 件 ， 进 行 编 译 ， 模 式 为 R e l e a s e ， 平 台 为 x 6 4 。
在 输 出 窗 口 中 ， 提 示 成 功 1 个 。 W i n 1 0 平 台 测 试 平 台 测 试 将 P r o c e s s R e p l a c e m e n t . e x e 拖 入 虚 拟 机 。 双 击 ， 提 示 看 样 子 是 缺 少 什 么 文 件 ？ 将 V S 2 0 1 5 环 境 下 的 文 件 v c r u n t i m e 1 4 0 . d l l ， 复 制 到 虚 拟 机
双 击 执 行 P r o c e s s R e p l a c e m e n t . e x e 总 结 总 结 本 文 介 绍 的 W i n 1 0   x 6 4 进 程 镂 空 技 术 ， 可 以 在 文 件 层 面 实 现 木 马 免 杀 。 * 本 文 作 者 ： 河 马 安 全 网 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理