搜索

[16533] 2021-03-09_安全研究使用ScareCrow框架实现EDR绕过

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-03-09_安全研究使用ScareCrow框架实现EDR绕过 安 全 研 究   |   使 用 S c a r e C r o w 框 架 实 现 E D R 绕 过 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 3 - 0 9 S c a r e C r o w S c a r e C r o w 是 一 款 功 能 强 大 的 P a y l o a d 创 建 框 架 ， 可 以 帮 助 广 大 研 究 人 员 生 成 用 于 向 合 法 W i n d o w s 金 册 灰 姑 娘 中 注 入 内 容 的 加 载 器 ， 以 绕 过 应 用 程 序 白 名 单 控 制 。 当 D L L 加 载 器 加 载 进 内 存 中 之 后 ， 将 会 使 用 一 种 技 术 来 将 E D R 钩 子 从 正 在 进 程 内 存 中 运 行 的 系 统 D L L 中 清 理 掉 ， 这 是 因 为 我 们 知 道 E D R 的 钩 子 是 在 这 些 进 程 被 生 成 时 设 置 的 。 S c a r e C r o w 可 以 通 过 使 用 A P I 函 数 V i r t u a l P r o t e c t 来 在 内 存 中 对 这 些 D L L 进 行 操 作 ， 该 函 数 可 以 将 进 程 的 内 存 权 限 的 一 部 分 更 改 为 不 同 的 值 ， 特 别 是 将 E x e c u t e - R e a d 修 改 为 R e a d - W r i t e - E x e c u t e 。 在 执 行 过 程 中 ， S c a r e C r o w 将 会 复 制 存 储 在 C : W i n d o w s S y s t e m 3 2 磁 盘 上 的 系 统 D L L 的 字 节 数 据 。 这 些 D L L 存 储 在 E D R 挂 钩 的 “ 干 净 ” 磁 盘 上 ， 因 为 系 统 使 用 它 们 在 生 成 新 进 程 时 会 将 未 更 改 的 副 本 加 载 到 新 进 程 中 。 由 于 E D R 只 在 内 存 中 设 置 这 些 进 程 钩 子 ， 所 以 这 部 分 数 据 将 保 持 不 变 。 S c a r e C r o w 不 会 复 制 整 个 D L L 文 件 ， 而 是 只 关 注 D L L 的 . t e x t 部 分 。 D L L 的 这 一 部 分 包 含 可 执 行 程 序 集 ， 这 样 做 有 助 于 降 低 检 测 的 可 能 性 ， 因 为 重 新 读 取 整 个 文 件 会 导 致 E D R 检 测 到 系 统 资 源 有 修 改 。 然 后 使 用 每 个 函 数 的 偏 移 量 将 数 据 复 制 到 内 存 的 正 确 区 域 。 每 个 函 数 都 有 一 个 偏 移 量 ， 该 偏 移 量 表 示 它 们 所 在 的 基 址 的 确 切 字 节 数 ， 提 供 函 数 在 堆 栈 上 的 位 置 。 为 了 做 到 这 一 点 ， S c a r e C r o w 选 择 使 用 V i r t u a l P r o t e c t 更 改 内 存 中 . t e x t 区 域 的 权 限 。 尽 管 这 是 一 个 系 统 D L L ， 但 由 于 它 已 加 载 到 我 们 的 进 程 （ 由 我 们 控 制 ） 中 ， 因 此 我 们 可 以 更 改 内 存 权 限 ， 而 无 需 提 升 权 限 。 一 旦 这 些 钩 子 被 移 除 ， S c a r e C r o w 就 会 利 用 定 制 的 系 统 调 用 在 内 存 中 加 载 和 运 行 s h e l l c o d e 。 S c a r e C r o w 甚 至 在 移 除 E D R 钩 子 之 后 也 会 这 样 做 ， 以 帮 助 避 免 被 基 于 非 用 户 钩 子 的 遥 测 收 集 工 具 （ 如 E v e n t   T r a c i n g   f o r   W i n d o w s （ E T W ） ） 或 其 他 事 件 日 志 机 制 检 测 到 。 这 些 自 定 义 系 统 调 用 还 用 于 执 行 V i r t u a l P r o t e c t 调 用 ， 以 移 除 由 E D R 放 置 的 钩 子 （ 如 上 所 述 ） ， 从 而 避 免 被 任 何 E D R 的 防 篡 改 控 件 检 测 到 。 这 是 通 过 调 用 V i r t u a l P r o t e c t 系 统 调 用 的 自 定 义 版 本 N t P r o t e c t V i r t u a l M e m o r y 来 完 成 的 。 S c a r e C r o w 可 以 利 用 G o l a n g 来 生 成 这 些 加 载 程 序 ， 然 后 对 这 些 定 制 的 系 统 调 用 函 数 进 行 编 译 。 S c a r e C r o w 首 先 会 解 密 s h e l l c o d e 并 将 其 加 载 进 内 存 中 ， 默 认 情 况 下 ， s h e l l c o d e 会 使 用 A E S 加 密 和 解 密 初 始 化 向 量 密 钥 进 行 加 密 。 一 旦 解 密 并 加 载 成 功 ， s h e l l c o d e 将 会 被 执 行 。 根 据 指 定 的 加 载 程 序 选 项 ， S c a r e C r o w 会 为 D L L 设 置 不 同 的 导 出 函 数 。 加 载 的 D L L 也 不 包 含 所 有 D L L 通 常 需 要 操 作 的 标 准 D L L m a i n 函 数 ， 不 过 我 们 不 需 要 担 心 D L L 的 执 行 会 出 现 问 题 。 代 码 样 例 代 码 样 例 在 加 载 器 的 创 建 过 程 中 ， S c a r e C r o w 会 使 用 到 一 个 代 码 库 ， 这 个 库 会 做 两 件 事 情 ： 代 码 对 加 载 器 进 行 签 名 ： 使 用 代 码 签 名 证 书 签 名 的 文 件 通 常 受 到 较 少 的 审 查 ， 这 样 就 更 容 易 执 行 而 不 会 受 到 质 疑 ， 因 为 使 用 受 信 任 名 称 签 名 的 文 件 通 常 比 其 他 文 件 更 不 可 疑 。 大 多 数 反 恶 意 软 件 产 品 没 有 时 间 去 验 证 这 些 证 书 。 S c a r e C r o w 通 过 使 用 G o 版 本 的 工 具 l i m e l i g h t e r 来 创 建 一 个 p f x 1 2 文 件 来 创 建 这 些 证 书 。 这 个 包 可 以 使 用 用 户 指 定 的 输 入 域 名 来 为 该 域 创 建 代 码 签 名 证 书 。 如 果 需 要 ， 还 可 以 通 过 有 效 的 命 令 行 选 项 来 使 用 自 己 的 代 码 签 名 证 书 。 伪 造 加 载 器 的 属 性 ： 这 是 通 过 使 用 s y s o 文 件 来 完 成 的 ， s y s o 文 件 是 嵌 入 资 源 文 件 的 一 种 形 式 ， 当 与 我 们 的 加 载 程 序 一 起 编 译 时 ， 它 将 修 改 我 们 编 译 代 码 的 属 性 部 分 。 在 生 成 s y s o 文 件 之 前 ， S c a r e C r o w 将 生 成 一 个 随 机 文 件 名 （ 基 于 加 载 程 序 类 型 ） 以 供 使 用 。 选 择 此 文 件 名 后 ， 将 映 射 到 该 文 件 名 的 关 联 属 性 ， 确 保 分 配 了 正 确 的 值 。 文 件 属 性 样 例 文 件 属 性 样 例
有 了 这 些 文 件 和 g o 代 码 ， S c a r e C r o w 将 使 用 c - s h a r e d 库 选 项 将 它 们 交 叉 编 译 成 D L L 文 件 。 一 旦 D L L 被 编 译 ， 它 就 会 被 混 淆 成 一 个 断 开 的 B a s e 6 4 字 符 串 ， 这 个 字 符 串 将 被 嵌 入 到 一 个 文 件 中 。 这 将 允 许 我 们 远 程 获 取 、 访 问 或 以 编 程 方 式 执 行 目 标 文 件 。 工 具 安 装 工 具 安 装 第 一 步 我 们 首 先 要 将 该 项 目 源 码 克 隆 至 本 地 ： 在 编 译 S c a r e C r o w 之 前 ， 我 们 还 需 要 安 装 响 应 的 依 赖 组 件 ： 确 保 下 列 组 件 已 经 在 你 的 操 作 系 统 上 安 装 好 了 ： 接 下 来 ， 运 行 下 列 命 令 完 成 工 具 构 建 ： 工 具 帮 助 信 息 工 具 帮 助 信 息 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / o p t i v / S c a r e C r o w . g i t g o   g e t   g i t h u b . c o m / f a t i h / c o l o r g o   g e t   g i t h u b . c o m / y e k a / z i p g o   g e t   g i t h u b . c o m / j o s e p h s p u r r i e r / g o v e r s i o n i n f o o p e n s s l o s s l s i g n c o d e m i n g w - w 6 4 g o   b u i l d   S c a r e C r o w . g o . / S c a r e C r o w   - h     _ _ _ _ _ _ _ _ _                                                       _ _ _ _ _ _ _ _ _                                                 /       _ _ _ _ _ /   _ _ _ _   _ _ _ _ _   _ _ _ _ _ _ _       _ _ _ _   _       _ _ _   _ _ _ _ _ _ _     _ _ _ _ _ _     _     _ _   _ _ _ _ _     _ /   _ _ _ _ _     _     _ _   _ /   _ _   /             / _     _ _   /     _     /   /   /   /                     _ _ _   /   _ _   |     |   /     _ _ _ /           _ _ _ _ |     |   (     < _ >   )           / / _ _ _ _ _ _ _     / _ _ _     > _ _ _ _     / _ _ |         _ _ _     > _ _ _ _ _ _     / | _ _ |       _ _ _ _ /   / _ /                     /           /           /                         /                 /                                                                                                                                                             ( @ T y l 0 u s )                 “ F e a r ,   y o u   m u s t   u n d e r s t a n d   i s   m o r e   t h a n   a   m e r e   o b s t a c l e .                 F e a r   i s   a   T E A C H E R .   t h e   f i r s t   o n e   y o u   e v e r   h a d . ” U s a g e   o f   . / S c a r e C r o w :     - I   s t r i n g                 P a t h   t o   t h e   r a w   6 4 - b i t   s h e l l c o d e .
项 目 地 址 项 目 地 址 S c a r e C r o w ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐     - L o a d e r   s t r i n g                 S e t s   t h e   t y p e   o f   p r o c e s s   t h a t   w i l l   s i d e l o a d   t h e   m a l i c i o u s   p a y l o a d :                 [ * ]   b i n a r y   -   G e n e r a t e s   a   b i n a r y   b a s e d   p a y l o a d .   ( T h i s   t y p e   d o e s   n o t   b e n f i t   f r o m   a n y   s i d e l o a d i n g )                 [ * ]   c o n t r o l   -   L o a d s   a   h i d d e n   c o n t r o l   a p p l e t   -   t h e   p r o c e s s   n a m e   w o u l d   b e   r u n d l l 3 2 .                 [ * ]   d l l   -   G e n e r a t e s   j u s t   a   D L L   f i l e .   C a n   e x e c u t e d   w i t h   c o m m a n d s   s u c h   a s   r u n d l l 3 2   o r   r e g s v r 3 2   w i t h   D l l R e g i s t e r S e r v e r ,   D l l G e t C l a s s O b j e c t   a s   e x p o r t   f u n c t i o n s .                 [ * ]   e x c e l   -   L o a d s   i n t o   a   h i d d e n   E x c e l   p r o c e s s .                 [ * ]   w s c r i p t   -   L o a d s   i n t o   W S c r i p t   p r o c e s s .                   ( d e f a u l t   " d l l " )     - O   s t r i n g                 N a m e   o f   o u t p u t   f i l e   ( e . g .   l o a d e r . j s   o r   l o a d e r . h t a ) .   I f   L o a d e r   i s   s e t   t o   d l l   o r   b i n a r y   t h i s   o p t i o n   i s   n o t   r e q u i r e d .     - c o n s o l e                 O n l y   f o r   B i n a r y   P a y l o a d s   -   G e n e r a t e s   v e r b o s e   c o n s o l e   i n f o r m a t i o n   w h e n   t h e   p a y l o a d   i s   e x e c u t e d .   T h i s   w i l l   d i s a b l e   t h e   h i d d e n   w i n d o w   f e a t u r e .     - d e l i v e r y   s t r i n g                 G e n e r a t e s   a   o n e - l i n e r   c o m m a n d   t o   d o w n l o a d   a n d   e x e c u t e   t h e   p a y l o a d   r e m o t e l y :                 [ * ]   b i t s   -   G e n e r a t e s   a   B i t s a d m i n   o n e   l i n e r   c o m m a n d   t o   d o w n l o a d ,   e x e c u t e   a n d   r e m o v e   t h e   l o a d e r .                 [ * ]   h t a   -   G e n e r a t e s   a   b l a n k   h t a   f i l e   c o n t a i n i n g   t h e   l o a d e r   a l o n g   w i t h   a   M S H T A   c o m m a n d   t o   e x e c u t e   t h e   l o a d e r   r e m o t e l y   i n   t h e   b a c k g r o u n d .                 [ * ]   m a c r o   -   G e n e r a t e s   a n   O f f i c e   m a c r o   t h a t   w i l l   d o w n l o a d   a n d   e x e c u t e   t h e   l o a d e r   r e m o t e l y .     - d o m a i n   s t r i n g                 T h e   d o m a i n   n a m e   t o   u s e   f o r   c r e a t i n g   a   f a k e   c o d e   s i g n i n g   c e r t .   ( e . g .   A c m e . c o m )     - p a s s w o r d   s t r i n g                 T h e   p a s s w o r d   f o r   c o d e   s i g n i n g   c e r t .   R e q u i r e d   w h e n   - v a l i d   i s   u s e d .     - s a n d b o x   s t r i n g                 E n a b l e s   s a n d b o x   e v a s i o n   u s i n g   I s D o m a i n e d J o i n e d   c a l l s .     - u r l   s t r i n g                 U R L   a s s o c i a t e d   w i t h   t h e   D e l i v e r y   o p t i o n   t o   r e t r i e v e   t h e   p a y l o a d .   ( e . g .   h t t p s : / / a c m e . c o m / )     - v a l i d   s t r i n g                 T h e   p a t h   t o   a   v a l i d   c o d e   s i g n i n g   c e r t .   U s e d   i n s t e a d   o f   - d o m a i n   i f   a   v a l i d   c o d e   s i g n i n g   c e r t   i s   d e s i r e d .
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理