设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [14118] 2019-05-17_反虚拟机和沙箱检测的一些小技巧 ...
返回列表 发新帖
查看: 3|回复: 0

[14118] 2019-05-17_反虚拟机和沙箱检测的一些小技巧

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-05-17_反虚拟机和沙箱检测的一些小技巧 反 虚 拟 机 和 沙 箱 检 测 的 一 些 小 技 巧 n e k o y a n s u   F r e e B u f   2 0 1 9 - 0 5 - 1 7 前 言 前 言 近 年 来 ， 各 类 恶 意 软 件 层 出 不 穷 ， 反 病 毒 软 件 也 更 新 了 各 种 检 测 方 案 以 提 高 检 测 率 。 其 中 比 较 有 效 的 方 案 是 动 态 沙 箱 检 测 技 术 ， 即 通 过 在 沙 箱 中 运 行 程 序 并 观 察 程 序 行 为 来 判 断 程 序 是 近 年 来 ， 各 类 恶 意 软 件 层 出 不 穷 ， 反 病 毒 软 件 也 更 新 了 各 种 检 测 方 案 以 提 高 检 测 率 。 其 中 比 较 有 效 的 方 案 是 动 态 沙 箱 检 测 技 术 ， 即 通 过 在 沙 箱 中 运 行 程 序 并 观 察 程 序 行 为 来 判 断 程 序 是 否 为 恶 意 程 序 。 否 为 恶 意 程 序 。 与 此 同 时 ， 安 全 人 员 也 在 各 类 虚 拟 机 中 运 行 程 序 进 行 分 析 。 为 了 逃 避 沙 箱 / 安 全 人 员 的 检 测 ， 恶 意 软 件 使 用 了 各 类 识 别 沙 箱 / 虚 拟 机 的 技 术 ， 用 于 判 断 自 身 程 序 是 否 运 行 在 沙 箱 / 虚 拟 机 中 。 文 中 介 绍 了 几 种 检 测 虚 拟 机 和 沙 箱 的 技 术 ， 如 果 有 错 误 之 处 请 各 位 d a l a o 指 正 。 一 、 常 用 虚 拟 机 检 测 一 、 常 用 虚 拟 机 检 测 很 多 安 全 人 员 使 用 V M w a r e 和 V i r t u a l B o x 运 行 程 序 ， 以 下 介 绍 几 种 办 法 检 测 v m w a r e 和 v b o x 特 征 。 1 . 通 过 进 程 名 检 测 通 过 进 程 名 检 测 V M w a r e & V i r t u a l B o x 以 下 是 V m w a r e 和 V i r t u a l B o x 可 能 存 在 的 进 程 ， 我 们 可 以 使 用 P r o c e s s 3 2 F i r s t ， P r o c e s s 3 2 N e x t 等 W I N A P I 列 举 进 程 并 且 检 测 是 否 存 以 下 内 容 。 V m w a r e ： V m t o o l s d . e x e V m w a r e t r a t . e x e V m w a r e u s e r . e x e V m a c t h l p . e x e V i r t u a l B o x ： v b o x s e r v i c e . e x e v b o x t r a y . e x e 以 下 是 示 例 代 码 ： 如 上 图 ， 我 们 使 用 了 C r e a t e T o o l h e l p 3 2 S n a p s h o t 给 进 程 来 个 快 照 ， 然 后 使 用 P r o c e s s 3 2 F i r s t ， P r o c e s s 3 2 N e x t 枚 举 进 程 ， 并 将 进 程 名 传 入 c h e c k 函 数 中 检 测 是 否 匹 配 数 组 中 的 名 字 ， 如 果 匹 配 到 其 中 的 一 个 ， 说 明 在 V i r t u a l B o x 中 运 行 ， C h e c k P r o c e s s 函 数 将 返 回 f a l s e 。 以 下 是 在 V i r t u a l B o x 中 运 行 的 例 子 ： 备 注 ： 许 多 分 析 虚 拟 机 中 没 有 安 装 常 用 软 件 ， 我 们 也 可 以 使 用 类 似 的 办 法 检 测 系 统 中 的 I M 、 浏 览 器 等 常 用 程 序 ， 来 判 断 程 序 是 否 运 行 在 虚 拟 机 中 。 2 . 检 测 注 册 表 检 测 注 册 表 以 下 是 v b o x 和 v m w a r e 存 在 的 一 些 注 册 表 ： 通 过 检 测 指 定 注 册 表 键 值 是 否 存 在 来 判 断 程 序 是 否 在 虚 拟 机 中 运 行 ： H K L M S O F T W A R E V m w a r e   I n c V m w a r e   T o o l s H K L M H A R D W A R E D E V I C E M A P S c s i S c s i   P o r t   2 S c s i   B u s   0 T a r g e t   I d   0 L o g i c a l   U n i t   I d   0 I d e n t i f i e r H K E Y _ C L A S S E S _ R O O T A p p l i c a t i o n s V M w a r e H o s t O p e n
如 上 图 使 用 R e g O p e n K e y   W I N A P I 打 开 指 定 键 ， 如 果 成 功 代 表 存 在 该 键 ， 由 此 程 序 判 断 是 否 在 虚 拟 机 中 。 3 . 检 测 硬 盘 中 的 文 件 检 测 硬 盘 中 的 文 件 下 面 搜 集 来 了 一 些 v m w a r e 和 v b o x 存 在 的 文 件 特 征 。 可 以 用 多 种 方 法 检 测 文 件 是 否 存 在 ， 如 ： W M I C ， W I N A P I 和 C M D 。 V M w a r e V i r t u a l B o x 例 ： 使 用 c m d 命 令 检 测 文 件 是 否 存 在 ： 例 ： 使 用 c 语 言 中 的 a c c e s s 函 数 判 断 文 件 是 否 存 在 ： 4 . 判 断 运 行 中 的 服 务 判 断 运 行 中 的 服 务 下 面 列 表 中 的 服 务 如 果 存 在 ， 很 可 能 运 行 在 虚 拟 机 中 ， 我 们 可 以 使 用 w m i c 或 命 令 s c . e x e   q u e r y 等 方 式 判 断 是 否 存 在 以 下 服 务 。 V M T o o l s V m r a w d s k V m u s b m o u s e V m v s s V m s c s i V m x n e t v m x _ s v g a V m w a r e   T o o l s 例 ： 在 v b o x 虚 拟 机 中 使 用 s c   q u e r y 获 取 服 务 名 。 上 图 黄 色 标 记 的 V B o x S e r v i c e 就 是 有 可 能 携 带 的 v b o x 虚 拟 机 特 征 之 一 。 5 . 检 测 检 测 m a c 地 址 前 缀 地 址 前 缀 以 下 列 出 了 几 个 v m w a r e 和 v b o x 可 能 出 现 的 默 认 M A C 地 址 前 缀 ， 可 以 逐 一 判 断 来 确 认 程 序 是 否 运 行 在 虚 拟 机 中 ： 0 0 : 0 5 : 6 9   ( V m w a r e ) 0 0 : 0 C : 2 9   ( V m w a r e ) 0 0 : 1 C : 1 4   ( V m w a r e ) 0 0 : 5 0 : 5 6   ( V m w a r e ) 0 8 : 0 0 : 2 7   ( V i r t u a l B o x ) C : w i n d o w s S y s t e m 3 2 D r i v e r s V m m o u s e . s y s C : w i n d o w s S y s t e m 3 2 D r i v e r s v m t r a y . d l l C : w i n d o w s S y s t e m 3 2 D r i v e r s V M T o o l s H o o k . d l l C : w i n d o w s S y s t e m 3 2 D r i v e r s v m m o u s e v e r . d l l C : w i n d o w s S y s t e m 3 2 C : w i n d o w s S y s t e m 3 2 D r i v e r s V B o x M o u s e . s y s C : w i n d o w s S y s t e m 3 2 D r i v e r s V B o x G u e s t . s y s C : w i n d o w s S y s t e m 3 2 D r i v e r s V B o x S F . s y s C : w i n d o w s S y s t e m 3 2 D r i v e r s V B o x V i d e o . s y s C : w i n d o w s S y s t e m 3 2 i f   e x i s t   " C : w i n d o w s S y s t e m 3 2 v b o x t r a y . e x e "   e c h o   e x i s t i f   (   ! a c c e s s ( " C : w i n d o w s S y s t e m 3 2 v b o x t r a y . e x e " , 0 )   ) p r i n t f ( “ 在 虚 拟 机 中 ” ) e l s e p r i n t f ( “ 不 在 虚 拟 机 中 ” )
如 图 在 v b o x 虚 拟 机 中 使 用 i p c o n f i g   / a l l 命 令 得 到 M A C 地 址 ， 前 缀 0 8 - 0 0 - 2 7 在 列 表 中 ， 可 以 判 断 是 v b o x 虚 拟 机 。 我 们 可 以 使 用 c 中 的 p i p e 来 获 取 i p c o n f i g   / a l l 的 结 果 ， 并 且 判 断 指 定 M A C 是 否 存 在 ， 来 判 断 是 否 在 虚 拟 机 中 运 行 。 下 图 是 在 v b o x 中 运 行 的 结 果 ： 下 图 是 普 通 运 行 ： 6 . 使 用 使 用 C P U I D 指 令 检 测 虚 拟 机 指 令 检 测 虚 拟 机 C P U I D 是 一 个 面 向 x 8 6 架 构 的 处 理 器 补 充 指 令 ， 它 的 名 称 派 生 自 C P U 识 别 ， 作 用 是 允 许 软 件 发 现 处 理 器 的 详 细 信 息 。 E F L A G S 中 的 b i t   2 1 可 以 识 别 C P U 是 否 支 持 C P U I D 指 令 ， 如 下 图 ： 现 在 的 c p u 都 是 支 持 此 指 令 的 。 c p u i d   指 令 由   e a x   寄 存 器 获 得 输 入 ， 执 行   c p u i d   指 令 前 ， 需 要 将 功 能 号 传 给   e a x   寄 存 器 。
在 上 图 中 E A X = 0 ： 获 取 C P U 的 V e n d o r   I D 。 用 下 面 的 方 法 执 行 该 功 能 ： 执 行 C P U I D 指 令 后 ， 返 回 的 V e n d o r   I D 固 定 为 1 2 个 A S C I I 字 符 ， 依 次 存 放 在 E B X 、 E D X 、 E C X 中 。 E A X = 1 部 分 ： 处 理 器 签 名 （ P r o c e s s o r   S i g n i t u r e ） 和 功 能 （ F e a t u r e ） 位 。 执 行 完 成 后 ， 处 理 器 签 名 放 在 E A X 中 ， 功 能 位 及 其 它 的 内 容 分 别 放 在 E B X 、 E C X 和 E D X 中 。 将 E A X 置 为 1 ， 运 行 C P U I D 指 令 后 获 取 E C X 中 的 值 并 判 断 。 下 图 为 示 例 代 码 ： 注 ： 可 以 通 过 设 置 e a x 中 不 同 的 功 能 号 自 由 获 取 c p u 信 息 。 二 、 在 线 分 析 沙 箱 检 测 二 、 在 线 分 析 沙 箱 检 测 在 线 沙 箱 通 过 记 录 程 序 运 行 情 况 进 行 判 定 ， 下 面 介 绍 一 些 小 技 巧 来 检 测 程 序 是 否 在 沙 箱 里 运 行 。 1 . 延 迟 运 行 延 迟 运 行 在 各 类 检 测 沙 箱 中 ， 检 测 运 行 的 时 间 往 往 是 比 较 短 的 ， 因 为 其 没 有 过 多 资 源 可 以 供 程 序 长 时 间 运 行 ， 所 以 我 们 可 以 延 迟 等 待 一 会 儿 后 再 进 行 真 实 的 操 作 。 s t d : : s l e e p _ f o r ( ) ： 线 程 调 用 该 方 法 时 ， 同 样 会 让 出 C P U ， 并 且 休 眠 一 段 时 间 ， 从 而 让 其 他 线 程 有 机 会 运 行 。 等 到 休 眠 结 束 时 ， 才 参 与 C P U 调 度 。 我 们 使 用 t h i s _ t h r e a d : : s l e e p _ f o r ( ) 来 延 迟 当 前 线 程 ， 此 方 法 比 使 用 S l e e p ( ) 更 不 容 易 被 沙 箱 使 用 模 拟 方 法 绕 过 。 2 . 检 测 开 机 时 间 检 测 开 机 时 间 许 多 沙 箱 检 测 完 毕 后 会 重 置 系 统 ， 我 们 可 以 检 测 开 机 时 间 来 判 断 是 否 为 真 实 的 运 行 状 况 。 我 们 使 用 W I N A P I   G e t T i c k C o u n t ( ) 来 获 取 机 器 已 运 行 的 时 间 （ 以 秒 为 单 位 ） 。 然 后 判 断 开 机 运 行 时 间 是 否 大 于 1 个 小 时 ， 如 果 开 机 时 间 小 于 1 小 时 就 返 回 f a l s e 。 下 图 是 示 例 代 码 ： m o v   e a x ,   0 c p u i d m o v   e a x ,   1 c p u i d
3 . 检 测 物 理 内 存 检 测 物 理 内 存 当 今 大 多 数 p c 具 有 4 G B 以 上 的 R A M , 我 们 可 以 检 测 R A M 是 否 大 于 4 G B 来 判 断 是 否 是 真 实 的 运 行 机 器 。 内 存 大 小 可 能 会 大 于 4 G B 的 情 况 下 我 们 需 要 用 G l o b a l M e m o r y S t a t u s E x 获 取 内 存 信 息 ， 查 看 M S D N 会 发 现 M E M O R Y S T A T U S E X 的 成 员 值 所 占 的 字 节 数 比 M E M O R Y S T A T U S 成 员 值 占 用 的 字 节 数 大 ， 其 中 的 成 员 u l l T o t a l P h y s 为 物 理 内 存 大 小 。 下 图 代 码 使 用 G l o b a l M e m o r y S t a t u s E x ( ) 来 获 得 一 个 D W O R D L O N G 类 型 的 内 存 大 小 ， 然 后 与 4 G B 比 较 ， 小 于 4 G B 返 回 f a l s e ， 大 于 4 G B 返 回 t r u e 。 4 . 检 测 检 测 C P U 核 心 数 核 心 数 大 多 数 p c 拥 有 4 核 心 c p u ， 许 多 在 线 检 测 的 虚 拟 机 沙 盘 是 2 核 心 ， 我 们 可 以 通 过 核 心 数 来 判 断 是 否 为 真 实 机 器 或 检 测 用 的 虚 拟 沙 箱 。 使 用 w i n a p i 函 数 G e t S y s t e m I n f o ( ) 将 系 统 信 息 写 入 类 型 为 S Y S T E M _ I N F O 的 结 构 体 ， 其 中 成 员 d w N u m b e r O f P r o c e s s o r s 就 是 C P U 核 心 数 （ 超 线 程 技 术 也 算 入 核 心 ） ， 如 果 其 小 于 4 ， C h e c k C P U ( ) 将 返 回 f a l s e ， 检 测 不 通 过 。 5 . 检 测 临 时 文 件 数 检 测 临 时 文 件 数 正 常 使 用 的 系 统 ， 其 中 用 户 的 临 时 文 件 夹 中 有 一 定 数 量 的 临 时 文 件 ， 可 以 通 过 判 断 临 时 文 件 夹 内 的 文 件 数 量 来 检 测 是 否 在 沙 箱 中 运 行 。 先 使 用 G e t E n v i r o n m e n t V a r i a b l e ( ) 获 取 t e m p 路 径 ， 再 利 用 F i n d F i r s t F i l e ( ) 与 F i n d N e x t F i l e ( ) 枚 举 t e m p 文 件 夹 内 的 文 件 数 量 ， 如 果 小 于 3 0 ， 就 返 回 f a l s e ， 代 表 检 测 失 败 。 总 结 与 备 注 总 结 与 备 注 当 前 有 部 分 检 测 沙 箱 使 用 了 I n t e l   P r o c e s s o r   T r a c i n g 技 术 ， 可 以 高 效 追 踪 程 序 的 分 支 ， 在 实 际 使 用 过 程 中 ， 需 要 对 i f 分 支 进 行 一 定 程 度 的 代 码 混 淆 ， 防 止 分 支 模 拟 技 术 。 并 且 现 代 检 测 沙 箱 正 在 不 断 提 高 拟 真 度 ， 单 独 使 用 几 个 判 断 方 法 可 能 无 法 得 出 正 确 的 判 断 ， 要 多 种 方 法 结 合 使 用 ， 才 能 发 挥 出 良 好 的 效 果 。 参 考 链 接 ： 参 考 链 接 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s / d e s k t o p / a p i / h t t p : / / b l o g . c h i n a u n i x . n e t / u i d - 2 0 7 2 9 5 8 3 - i d - 1 8 8 4 5 9 9 . h t m l * 本 文 原 创 作 者 ： n e k o y a n s u ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:33 , Processed in 0.585548 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表