搜索

[17031] 2021-07-16_“兵不厌诈”？漏洞还是那些漏洞，攻击技术却层出不穷

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-07-16_“兵不厌诈”？漏洞还是那些漏洞，攻击技术却层出不穷 “ 兵 不 厌 诈 ” ？ 漏 洞 还 是 那 些 漏 洞 ， 攻 击 技 术 却 层 出 不 穷 空 城 H C   F r e e B u f   2 0 2 1 - 0 7 - 1 6 如 今 每 天 都 能 发 现 超 过 5 5 万 个 新 的 恶 意 软 件 样 本 ， 企 业 如 何 避 免 系 统 漏 洞 暴 露 在 这 些 网 络 威 胁 中 成 为 了 工 作 中 的 重 中 之 重 。 尽 管 如 此 ， 许 多 人 仍 然 让 自 己 暴 露 在 了 风 险 之 中 。 0 d a y 攻 击 的 漏 洞 利 用 让 人 比 较 头 疼 ， 因 为 软 件 供 应 商 也 没 有 漏 洞 补 丁 。 谷 歌 的 一 项 研 究 显 示 ， 2 0 2 0 年 有 2 4 个 零 日 漏 洞 遭 攻 击 者 利 用 。 同 时 ， 至 少 8 0 % 的 攻 击 利 用 了 三 年 前 报 告 披 露 的 漏 洞 。 许 多 软 件 漏 洞 以 复 杂 的 方 式 隐 藏 ， 如 果 企 业 依 赖 普 通 的 网 络 安 全 解 决 方 案 ， 则 很 难 检 测 到 它 们 。 有 效 检 测 漏 洞 利 用 需 要 深 入 的 系 统 知 识 和 对 所 有 应 用 程 序 的 持 续 监 控 ， 包 括 漏 洞 利 用 预 防 功 能 的 先 进 的 下 一 代 网 络 保 护 解 决 方 案 。 漏 洞 利 用 防 护 原 理 漏 洞 利 用 防 护 原 理 虽 然 每 天 都 会 出 现 成 百 上 千 的 新 恶 意 软 件 样 本 ， 但 犯 罪 分 子 只 能 使 用 少 数 技 术 来 利 用 软 件 漏 洞 ， 而 且 其 中 大 部 分 都 与 某 种 类 型 的 随 机 存 取 存 储 器   ( R A M )   操 作 有 关 。 通 常 ， 犯 罪 分 子 会 将 一 些 漏 洞 利 用 技 术 和 恶 意 软 件 分 发 连 接 在 一 起 。 这 意 味 着 企 业 的 网 络 安 全 解 决 方 案 必 须 能 够 检 测 并 防 护 多 种 多 样 的 漏 洞 利 用 技 术 。 本 文 总 结 了 五 种 常 见 漏 洞 利 用 技 术 ， 为 企 业 系 统 和 数 据 安 全 防 护 提 供 参 考 。 1 、 返 回 导 向 编 程 保 护 、 返 回 导 向 编 程 保 护 数 据 执 行 保 护   ( D E P ) 是 一 种 系 统 级 内 存 保 护 功 能 ， 从 W i n d o w s   X P 开 始 就 内 置 于   W i n d o w s   操 作 系 统 中 。 它 使 系 统 能 够 将 一 页 或 多 页 内 存 标 记 为 不 可 执 行 。 从 一 开 始 ， 犯 罪 分 子 就 尝 试 绕 过 D E P ， 并 且 他 们 已 经 使 用 不 同 的 技 术 成 功 地 绕 过 了 一 段 时 间 ， 其 中 一 种 技 术 就 是 返 回 导 向 编 程   ( R O P ) 。 网 络 犯 罪 分 子 使 用 R O P 链 （ 来 自 现 有 合 法 代 码 部 分 的 一 小 段 ） 来 构 建 工 作 代 码 。 这 些 小 段 代 码 是 通 过 返 回 指 令 调 用 的 ， 在 某 些 时 候 ， 犯 罪 分 子 会 调 用 W i n A P I 函 数 。 应 用 程 序 的 堆 栈 是 一 个 包 含 内 存 地 址 位 置 （ 返 回 地 址 ） 列 表 的 内 存 区 域 。 如 果 W i n A P I 函 数 没 有 用 c a l l 指 令 调 用 ， 则 堆 栈 上 的 返 回 地 址 将 是 错 误 的 。 当 系 统 找 不 到 呼 叫 指 令 时 ， 更 为 有 效 的 网 络 保 护 解 决 方 案 将 终 止 R O P 攻 击 。 2 、 内 存 操 作 、 内 存 操 作 犯 罪 分 子 通 过 在 返 回 导 向 编 程 攻 击 中 链 接 R O P 小 工 具 ， 使 用 堆 栈 透 视 来 绕 过 D E P 等 保 护 措 施 。 通 过 堆 栈 旋 转 ， 攻 击 可
以 从 真 实 堆 栈 转 向 新 的 虚 假 堆 栈 ， 该 堆 栈 是 攻 击 者 可 以 控 制 的 缓 冲 区 ， 例 如 堆 ， 可 以 从 堆 控 制 未 来 的 程 序 执 行 流 程 。 虽 然 W i n d o w s 提 供 导 出 地 址 过 滤   ( E A F ) ， 但 下 一 代 网 络 安 全 解 决 方 案 可 以 提 供 访 问 过 滤 器 ， 防 止 通 过 代 码 读 取 W i n d o w s 可 执 行 文 件   ( P E )   标 头 和 导 出 / 导 入 表 ， 使 用 特 殊 保 护 标 志 来 保 护 内 存 区 域 。 访 问 过 滤 器 还 应 支 持 许 可 名 单 ， 以 便 根 据 需 要 调 整 启 发 式 方 案 。 3 、 代 码 注 入 保 护 、 代 码 注 入 保 护 网 络 犯 罪 分 子 擅 长 利 用 以 下 几 种 代 码 注 入 技 术 开 展 攻 击 。 （ 1 ） 进 程 镂 空 是 其 中 一 种 ， 其 中 受 信 任 的 应 用 程 序 （ 例 如 e x p l o r e r . e x e 或 s v c h o s t . e x e ） 以 挂 起 状 态 加 载 到 系 统 上 ， 充 当 恶 意 代 码 的 容 器 。 由 于 一 个 镂 空 进 程 是 在 挂 起 状 态 下 创 建 的 ， 它 的 内 存 被 取 消 映 射 并 被 恶 意 代 码 替 换 。 恶 意 代 码 的 执 行 在 合 法 进 程 下 被 掩 盖 ， 通 常 会 绕 过 普 通 的 安 全 产 品 的 防 御 和 检 测 分 析 。 （ 2 ） 另 一 种 称 为 反 射 动 态 链 接 库   ( D L L )   加 载 的 技 术 ， 加 载 D L L 时 发 生 在 内 存 而 非 磁 盘 。 W i n d o w s 没 有 支 持 此 功 能 的 L o a d L i b r a r y 函 数 ， 因 此 如 果 用 户 怀 疑 遭 恶 意 使 用 ， 可 以 检 查 并 阻 止 它 。 （ 3 ） E a r l y   B i r d 代 码 注 入 技 术 利 用 了 程 序 在 计 算 机 上 执 行 时 发 生 的 应 用 程 序 线 程 处 理 过 程 。 在 许 多 安 全 产 品 放 置 h o o k 之 前 ， 它 会 在 线 程 初 始 化 的 早 期 阶 段 加 载 恶 意 代 码 。 这 允 许 恶 意 软 件 在 不 被 检 测 到 的 情 况 下 执 行 其 恶 意 操 作 。 W i n d o w s 的 早 期 启 动 反 恶 意 软 件   ( E L A M )   技 术 可 用 于 帮 助 检 测 和 防 止 采 用 这 种 方 法 的 攻 击 。 （ 4 ） 异 步 过 程 调 用   ( A P C ) 是 一 种 W i n d o w s 功 能 ， 可 以 将 线 程 从 其 常 规 执 行 路 径 转 移 并 引 导 它 执 行 其 他 操 作 。 A P C 最 重 要 的 一 点 是 ， 当 它 被 调 度 时 ， 它 是 针 对 特 定 线 程 的 。 攻 击 者 可 以 注 入 该 调 用 并 使 用 它 来 运 行 恶 意 代 码 。 因 此 ， 先 进 的 下 一 代 网 络 安 全 解 决 方 案 可 以 在 暂 停 模 式 下 检 测 进 程 中 的 注 入 ， 这 会 清 空 原 始 内 存 并 阻 止 受 影 响 的 进 程 。 4 、 提 权 保 护 、 提 权 保 护 W i n d o w s 中 的 进 程 有 一 个 所 谓 的 安 全 标 识 符   ( S I D ) 。 S I D 是 可 变 长 度 的 唯 一 值 ， 用 于 标 识 安 全 主 体 （ 例 如 安 全 组 ） 。 当 父 进 程 创 建 子 进 程 时 ， 子 进 程 继 承 S I D 。 这 需 要 在 应 用 程 序 加 载 期 间 进 行 检 查 ， 因 为 用 户 可 从 中 发 现 恶 意 活 动 。 在 流 程 执 行 期 ， S I D 不 能 被 更 改 。 对 于 敏 感 功 能 ， 漏 洞 利 用 防 护 软 件 也 会 检 查 S I D 在 执 行 过 程 中 是 否 保 持 不 变 。 例 如 ， 如 果 攻 击 者 想 要 将 C r e a t e P r o c e s s W i t h T o k e n 函 数 与 来 自 另 一 个 进 程 的 安 全 令 牌 （ 可 能 被 预 先 窃 取 ） 一 起 使 用 ， 则 将 提 取 S I D 并 根 据 当 前 进 程 进 行 检 查 。 如 果 没 有 匹 配 项 ， 它 将 发 出 警 报 并 阻 止 该 进 程 。 5 、 防 御 规 避 保 护 、 防 御 规 避 保 护 许 多 先 进 的 下 一 代 网 络 安 全 解 决 方 案 在 敏 感 的 A P I 函 数 上 设 置 h o o k ， 以 在 允 许 内 核 提 供 请 求 服 务 之 前 进 行 拦 截 和 执 行 检 查 ， 例 如 防 病 毒 扫 描 。 犯 罪 分 子 可 以 充 分 利 用 这 一 功 能 “ 监 控 敏 感 功 能 ” ， 通 过 以 偏 移 量 调 用 不 受 监 控 、 非 敏 感 的 函 数 （ 故 意 解 决 重 要 的 内 核 服 务 ） ， 以 逃 避 安 全 软 件 的 检 测 。 因 此 ， 先 进 的 下 一 代 网 络 安 全 解 决 方 案 可 以 防 止 攻 击 者 通 过 未 受 保 护 的 A P I 函 数 访 问 敏 感 的 内 核 函 数 。 漏 洞 利 用 防 护 是 一 种 防 护 作 用 较 小 的 技 术 和 启 发 式 方 法 ， 但 它 们 是 任 何 多 层 安 全 计 划 的 关 键 部 分 — — 尤 其 是 针 对 0 d a y 漏 洞 的 复 杂 网 络 攻 击 。 无 论 是 最 近 发 现 的 漏 洞 利 用 还 是 现 有 的 、 未 修 补 的 漏 洞 ， 只 需 一 次 攻 击 即 可 导 致 灾 难 性 的 数 据 丢 失 并 可 能 摧 毁 用 户 业 务 。 参 考 来 源 参 考 来 源 U n d e r s t a n d i n g   a n d   s t o p p i n g   5   p o p u l a r   c y b e r s e c u r i t y   e x p l o i t a t i o n   t e c h n i q u e s
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理