搜索

[12864] 2018-06-24_任意代码保护与内核代码注入的那些事儿

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-24_任意代码保护与内核代码注入的那些事儿 任 意 代 码 保 护 与 内 核 代 码 注 入 的 那 些 事 儿 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 6 - 2 4 严 正 声 明 ： 本 文 仅 限 于 技 术 探 讨 ， 严 禁 用 于 其 他 用 途 。 写 在 前 面 的 话 写 在 前 面 的 话 类 似 类 似   W a n n a C r y   和 和   S l i n g s h o t   这 样 的 恶 意 软 件 最 常 用 的 一 种 攻 击 技 术 就 是 内 核 代 码 注 入 ， 在 近 期 刚 刚 发 布 的 这 样 的 恶 意 软 件 最 常 用 的 一 种 攻 击 技 术 就 是 内 核 代 码 注 入 ， 在 近 期 刚 刚 发 布 的 W i n d o w s   1 0   C r e a t o r s   更 新 中 ， 微 软 引 入 了 一 种 针 对 远 程 代 码 执 行 的 新 型 缓 解 技 术 更 新 中 ， 微 软 引 入 了 一 种 针 对 远 程 代 码 执 行 的 新 型 缓 解 技 术 - 任 意 代 码 守 护 卫 士 任 意 代 码 守 护 卫 士 （ （ A r b i t r a r y C o d e   G u a r d ） 。 在 这 篇 文 章 中 ， 我 们 将 详 细 介 绍 ） 。 在 这 篇 文 章 中 ， 我 们 将 详 细 介 绍 A r b i t r a r y   C o d e   G u a r d 的 工 作 机 制 ， 并 利 用 内 核 代 的 工 作 机 制 ， 并 利 用 内 核 代 码 注 入 攻 击 来 测 试 这 项 缓 解 技 术 的 有 效 性 。 码 注 入 攻 击 来 测 试 这 项 缓 解 技 术 的 有 效 性 。 A r b i t r a r y   C o d e   G u a r d （ 任 意 代 码 守 护 卫 士 ） （ 任 意 代 码 守 护 卫 士 ） 微 软 将 A r b i t r a r y   C o d e   G u a r d （ A C G ） 作 为 一 个 可 选 功 能 添 加 进 了 W i n d o w s 操 作 系 统 中 ， 它 可 以 用 来 检 测 和 防 止 下 列 情 况 的 出 现 ： 1 .   现 有 代 码 被 恶 意 修 改 ； 2 .   向 一 个 数 据 段 中 写 入 并 执 行 代 码 ； 为 了 实 现 这 两 个 目 标 ， A C G 会 强 制 执 行 这 条 规 则 ： 内 存 不 能 同 时 拥 有 写 入 权 限 （ W ） 和 执 行 权 限 （ X ） 。 A C G 配 合 上 代 码 完 整 性 保 护 机 制 （ C o d e   I n t e g r i t y   G u a r d ） ， W i n d o w s 就 可 以 防 止 攻 击 者 将 不 安 全 或 不 可 信 的 代 码 加 载 进 内 存 之 中 了 。 下 面 给 出 的 是 一 份 代 码 注 入 样 本 ， 它 会 将 进 程 内 存 的 状 态 修 改 为 A C G 想 要 防 止 出 现 的 状 态 ：
我 们 可 以 看 到 ， 这 些 注 入 了 代 码 的 页 面 同 时 拥 有 执 行 和 写 入 属 性 。 A C G 的 工 作 流 程 的 工 作 流 程 当 系 统 为 特 定 进 程 创 建 好 缓 解 方 案 时 ， 会 以 下 列 注 册 表 路 径 向 注 册 表 中 添 加 一 个 键 ： H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s 接 下 来 ， W i n d o w s 会 在 进 程 创 建 的 过 程 中 完 成 缓 解 方 案 的 相 关 设 置 ， 下 面 给 出 的 是 进 程 创 建 过 程 中 的 调 用 栈 ： 下 面 给 出 的 是 P s p A l l o c a t e P r o c e s s 函 数 的 部 分 代 码 ： 其 中 ， 下 面 这 两 个 函 数 主 要 负 责 加 载 缓 解 选 项 ：
这 些 函 数 会 从 注 册 表 中 读 取 下 列 键 值 ： 我 们 可 以 在 进 程 监 视 器 中 看 到 以 下 活 动 ： 接 下 来 ， M i t i g a t i o n s F l a g s V a l u e s 的 值 将 会 存 储 在 E P R O C E S S 结 构 体 中 ： A C G 如 何 检 测 和 屏 蔽 动 态 代 码 ？ 如 何 检 测 和 屏 蔽 动 态 代 码 ？ 正 如 之 前 的 介 绍 ， A C G 会 监 控 内 存 的 分 配 情 况 ， 并 防 止 同 时 拥 有 写 入 和 执 行 权 限 ， 当 我 们 尝 试 分 配 虚 拟 内 存 时 ， 调 用 栈 如 下 ： 此 时 将 会 调 用 M i A r b i t r a r y C o d e B l o c k e d 函 数 ， 该 函 数 的 功 能 如 下 图 所 示 ：
我 们 可 以 看 到 ， 这 个 函 数 负 责 检 测 E P R O C E S S 中 的 缓 解 选 项 ， 并 判 断 是 否 允 许 分 配 虚 拟 内 存 。 下 面 给 出 的 是 这 个 函 数 的 流 程 图 ：
该 函 数 主 要 实 现 了 下 面 三 件 事 情 ： 1 .   获 取 E P R O C E S S ， 检 测 是 否 启 用 了 缓 解 选 项 ， 并 将 M i t i g a t i o n s F l a g s 分 配 进 E P R O C E S S （ 偏 移 量 0 x 8 2 8 ） 。 2 .   检 测 E T H R E A D 中 的 C r o s s T h r e a d F l a g s （ 0 x 6 d 0 ） ， 以 确 定 线 程 是 否 拥 有 内 存 分 配 权 限 或 绕 过 缓 解 方 案 。 3 .   跟 踪 缓 解 结 果 ， 返 回 状 态 T A T U S _ D Y N A M I C _ C O D E _ B L O C K E D （ 0 x C 0 0 0 0 6 0 4 ） 。 内 核 代 码 注 入 内 核 代 码 注 入 接 下 来 我 们 一 起 看 一 看 ， 如 果 我 们 尝 试 向 内 核 注 入 代 码 时 ， A C G 的 表 现 如 何 。 这 里 我 们 会 使 用 恶 意 软 件 常 用 的 两 种 内 核 代 码 注 入 技 术 ： 1 .   创 建 一 个 新 的 线 程 并 加 载 一 个 动 态 链 接 库 文 件 （ D L L ） ； 2 .   使 用 一 个 异 步 程 序 调 用 （ A P C ） 来 向 现 有 线 程 中 加 载 一 个 D L L ； 在 这 两 种 技 术 中 ， 下 面 几 个 步 骤 是 通 用 的 ： 1 .   绑 定 目 标 进 程 ；
1 .   绑 定 目 标 进 程 ； 2 .   获 取 N t d l l 地 址 ； 3 .   获 取 L d r L o a d D l l 地 址 ； 4 .   通 过 s h e l l c o d e 分 配 虚 拟 内 存 ； 5 .   通 过 s h e l l c o d e 调 用 L d r L o a d D l l ； 在 使 用 新 的 线 程 实 现 s h e l l o c d e 注 入 时 ， 我 们 需 要 使 用 N t C r e a t e T h r e a d E x 并 在 s h e l l c o d e 中 调 用 L d r L o a d D l l 。 另 一 方 面 ， 如 果 我 们 想 要 使 用 一 个 A P C 来 注 入 s h e l l o c d e ， 我 们 则 需 要 在 相 应 线 程 中 使 用 A P C 函 数 并 通 过 s h e l l c o d e 调 用 L d r L o a d D l l 。 在 这 两 种 注 入 方 法 中 ， 我 们 需 要 在 分 配 虚 拟 内 存 时 同 时 分 配 写 入 和 执 行 权 限 ， 并 执 行 s h e l l c o d e 。 正 如 之 前 所 说 的 ， A C G 可 以 通 过 防 止 同 时 分 配 写 入 和 执 行 权 限 来 屏 蔽 代 码 注 入 。 下 面 给 出 的 是 负 责 分 配 虚 拟 内 存 的 代 码 ： 在 调 用 Z w A l l o c a t e V i r t u a l M e m o r y 之 后 设 置 断 点 （ M i A r b i t r a r y C o d e B l o c k e d ） 。 ， 我 们 将 能 够 在 w i n d b g 中 看 到 下 列 信 息 ： 返 回 值 为 S T A T U S _ D Y N A M I C _ C O D E _ B L O C K E D ， 因 此 这 两 种 代 码 注 入 技 术 都 无 法 绕 过 A C G 。 总 结 总 结 对 于 防 止 用 户 模 式 或 内 核 模 式 下 的 代 码 注 入 来 说 ， A C G 是 一 种 非 常 好 的 选 择 ， 但 A C G 目 前 只 是 一 种 可 选 项 ， 因 此 如 果 目 标 设 备 （ 进 程 ） 没 有 开 启 A C G 的 话 ， 攻 击 者 仍 然 能 够 实 现 代 码 注 入 。 参 考 资 料 参 考 资 料
1 .   W i n d o w s 1 0   缓 解 方 案 改 进 （ 2 0 1 6 年 美 国 黑 帽 黑 客 大 会 ） ： 【 点 我 获 取 】 2 .   破 解 A C G 的 那 些 事 儿 （ 2 0 1 7 年 E k o p a r t y 安 全 大 会 ） ： 【 点 我 获 取 】 *   参 考 来 源 ： c o u n t e r c r a f t ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理