搜索

[16398] 2021-02-04_分而治之：一种绕过NextGenAV的技术

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-02-04_分而治之：一种绕过NextGenAV的技术 分 而 治 之 ： 一 种 绕 过 N e x t G e n   A V 的 技 术 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 0 4 概 述 概 述 在 这 篇 文 章 中 ， 我 将 跟 大 家 介 绍 我 在 红 队 安 全 评 估 中 所 使 用 的 一 种 通 用 技 术 ， 通 俗 一 点 来 说 就 是 一 种 “ 分 而 治 之 ” 的 思 想 吧 ！ 这 种 技 术 可 以 用 来 绕 过 基 于 行 为 的 N e x t G e n   A V 检 测 ， 而 它 的 工 作 原 理 主 要 是 将 恶 意 操 作 和 A P I 调 用 拆 分 为 不 同 的 进 程 从 而 实 现 我 们 的 目 标 。 技 术 介 绍 技 术 介 绍 早 在 2 0 1 9 年 ， 我 当 时 还 是 红 队 的 一 名 成 员 ， 我 的 日 常 工 作 就 是 绕 过 特 定 的 N e x t G e n   A V 。 当 时 我 们 所 采 用 的 核 心 思 想 就 是 “ 分 而 治 之 ” 。 不 过 当 时 我 并 不 想 公 开 这 种 技 术 ， 而 且 我 也 没 有 想 要 去 在 互 联 网 上 介 绍 这 种 思 想 。 时 间 一 天 天 过 去 ， 我 差 不 多 都 把 这 件 事 给 忘 了 。 直 到 几 天 前 ， 我 看 到 了 A d a m （ @ H e x a c o r n ） 发 布 的 一 篇 帖 子 ， 主 要 内 容 如 下 ： 绕 过 检 测 核 心 概 念 绕 过 检 测 核 心 概 念 O p e r a t i o n S p r a y i n g - 生 成 一 个 级 联 的 进 程 ， 其 中 新 实 例 执 行 的 单 个 原 子 操 作 可 能 不 足 以 触 发 检 测 并 中 断 操 作 / 进 程 属 性 。 比 如 说 ： 1   -   生 成 一 个 记 事 本 进 程 （ N o t e p a d ） ； 2   -   打 开 进 程 句 柄 （ 传 递 到 子 进 程 ） ； 3   -   在 记 事 本 内 存 中 分 配 缓 冲 区 ， 将 句 柄 和 地 址 传 递 给 子 进 程 ； 4   -   将 其 标 记 为 R W X ， 并 将 句 柄 和 地 址 传 递 给 子 进 程 ； 5 - N   -   每 个 实 例 注 入 几 个 字 节 的 P a y l o a d ； N + 1   -   触 发 P a y l o a d ； 他 完 美 地 描 述 了 我 的 这 项 技 术 ， 根 据 他 在 T w i t t e r 上 的 回 复 ， 其 他 人 也 在 默 默 地 做 着 同 样 的 事 情 （ 比 如 我 ） 结 果 还 发 现 ， K y r i a k o s   I s p o g l o u （ i s p o ） 和 M a t h i a s   P a y e r 开 发 出 了 m a l W A S H ， 它 以 更 具 扩 展 灵 活 性 的 方 式 实 现 了 同 样 的 功 能 。 它 是 在 五 年 前 发 布 的 ， 所 以 我 想 ， 不 管 你 在 信 息 安 全 领 域 做 过 什 么 ， 很 可 能 有 人 以 前 也 做 过 ： ） 说 到 这 里 ， 我 想 是 时 候 公 布 我 所 做 的 一 些 细 节 了 。 背 景 知 识 背 景 知 识 N e x t G e n   A V 会 试 图 检 测 那 些 想 要 执 行 恶 意 操 作 的 进 程 ， 因 此 它 们 需 要 实 时 监 视 这 些 进 程 的 活 动 。 很 多 时 候 ， 我 们 会 发
现 m e t e r m e t e r   s h e l l 竟 然 是 可 以 “ 生 存 ” 下 去 的 ， 但 如 果 你 做 了 一 些 不 好 的 事 情 ， 那 就 说 不 定 了 ， 比 如 说 导 出 哈 希 或 l s a s s 访 问 之 类 的 ， 这 个 时 候 你 的 进 程 将 会 被 终 止 运 行 。 这 种 安 全 监 控 主 要 通 过 两 种 方 式 实 现 ： 在 内 核 级 别 的 监 控 ， 但 是 W i n d o w s 在 这 方 面 并 不 友 好 。 对 于 文 件 和 注 册 表 操 作 或 进 程 加 载 ， 只 能 执 行 一 组 有 限 的 回 调 。 你 无 法 通 过 一 般 形 式 监 控 A P I 调 用 ， 如 果 你 是 反 病 毒 产 品 的 供 应 商 ， 那 这 就 变 成 一 个 大 问 题 了 。 由 于 这 些 限 制 ， 每 个 反 病 毒 产 品 都 会 将 钩 子 放 在 用 户 模 式 下 ， 通 常 会 放 在 n t d l l 中 ， 但 也 有 很 多 其 他 地 方 ， 比 如 说 放 在 被 恶 意 软 件 滥 用 的 A P I 中 。 反 病 毒 产 品 的 D L L 是 从 内 核 模 式 强 制 进 入 我 们 的 进 程 的 ， 所 以 我 们 无 法 真 正 绕 过 它 。 总 的 来 说 ， 检 测 将 依 赖 于 监 视 我 们 所 做 的 A P I 调 用 ， 如 果 它 们 符 合 某 个 模 式 ， 我 们 将 被 检 测 到 并 被 终 止 运 行 。 比 如 说 ， 最 典 型 的 流 程 注 入 之 一 是 调 用 以 下 A P I 调 用 ： O p e n P r o c e s s V i r t u a l A l l o c W r i t e P r o c e s s M e m o r y C r e a t e R e m o t e T h r e a d 如 果 我 们 真 的 这 样 做 的 话 ， 那 我 们 可 就 没 戏 了 ！ 如 果 我 们 真 的 这 样 做 的 话 ， 那 我 们 可 就 没 戏 了 ！ 一 个 典 型 的 绕 过 方 法 是 取 消 用 户 模 式 钩 子 ， 或 者 直 接 从 代 码 中 执 行 系 统 调 用 ， 以 此 来 完 全 避 免 触 及 到 n t d l l 。 我 们 所 分 析 的 反 病 毒 产 品 能 够 检 测 到 这 种 取 消 钩 子 以 及 直 接 进 行 系 统 调 用 的 行 为 ， 因 此 我 们 还 是 需 要 想 办 法 ！ 解 决 方 案 核 心 思 想 解 决 方 案 核 心 思 想 - “ 分 而 治 之 分 而 治 之 ” 既 然 反 病 毒 产 品 的 检 测 依 赖 的 是 检 测 进 程 中 的 A P I 调 用 ， 那 我 们 为 什 么 不 可 以 在 多 个 进 程 之 间 分 割 A P I 调 用 呢 ？ 我 们 可 以 通 过 两 个 （ 或 更 多 ） 步 骤 将 代 码 注 入 远 程 进 程 ， 然 后 让 我 们 的 “ 恶 意 软 件 ” 根 据 初 始 获 取 到 的 输 入 来 做 不 同 的 事 情 。 根 据 前 文 所 介 绍 的 进 程 注 入 步 骤 ， 我 们 可 以 做 到 下 列 事 情 ： 首 先 ， 在 第 一 次 执 行 的 时 候 我 们 将 调 用 下 列 A P I ： O p e n P r o c e s s V i r t u a l A l l o c
W r i t e P r o c e s s M e m o r y 接 下 来 ， 在 第 二 次 执 行 的 时 候 ， 我 们 再 调 用 下 列 A P I ： O p e n P r o c e s s （ 尽 管 使 用 了 句 柄 继 承 ， 但 我 认 为 这 个 调 用 是 可 以 被 删 掉 的 ） C r e a t e R e m o t e T h r e a d 没 错 ， 就 是 这 样 ！ 反 病 毒 产 品 此 时 将 看 到 两 个 不 同 的 进 程 都 只 做 部 分 注 入 。 因 此 ， 如 果 有 一 个 操 作 涉 及 多 个 A P I 调 用 ， 然 后 我 们 又 可 以 拆 分 它 们 的 话 ， 我 们 就 赢 了 。 某 些 特 定 的 A V 在 检 测 进 程 注 入 方 面 可 能 会 非 常 厉 害 ， 因 此 我 采 用 了 三 种 不 同 的 注 入 技 术 来 实 现 这 种 方 法 ， 并 且 在 每 个 场 景 中 都 成 功 绕 过 了 A V 。 但 是 ， 我 发 现 将 A P I 调 用 拆 分 为 两 个 就 足 够 绕 过 A V 了 ， 但 是 正 如 A d a m （ @ H e x a c o r n ） 所 描 述 的 ， 我 们 在 某 些 场 景 下 可 能 需 要 疯 狂 拆 分 A P I 调 用 才 能 实 现 绕 过 。 下 面 给 出 的 是 一 个 技 术 验 证 P o C ， 可 以 使 用 具 有 上 述 方 法 的 部 分 执 行 进 程 注 入 ： 【 点 击 底 部 阅 读 原 文 获 取 】 。 此 时 ， 进 程 将 调 用 自 身 并 将 步 数 和 注 入 的 内 存 地 址 传 递 给 子 进 程 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理