搜索

[17933] 2021-08-11_SigFlip将数据隐写到已签名的PE文件上

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2021-08-11_SigFlip将数据隐写到已签名的PE文件上 S i g F l i p : 将 数 据 隐 写 到 已 签 名 的 P E 文 件 上 原 创   w 8 a y   H a c k i n g 就 是 好 玩   2 0 2 1 - 0 8 - 1 1 S i g F l i p ： 将 数 据 隐 写 到 已 签 名 的 P E 文 件 上 G i t h u b 地 址 :   h t t p s : / / g i t h u b . c o m / m e d 0 x 2 e / S i g F l i p 可 以 怎 么 玩 呢 ， 可 以 白 加 黑 当 冲 锋 马 的 时 候 ， 白 文 件 写 入 s h e l l c o d e ， 黑 文 件 加 载 白 文 件 的 s h e l l c o d e 。 也 可 以 做 维 权 使 用 ， 将 s h e l l c o d e 注 入 到 系 统 的 白 文 件 中 , d l l 劫 持 或 者 l o a d e r 加 到 启 动 项 里 面 。 使 用 两 个 目 录 和 ， D o t N e t 是 c # 写 的 用 来 可 行 性 测 试 ， 包 含 注 入 代 码 ， l o a d e r 加 载 功 能 ， B o f 是 C 写 的 ， 也 包 含 注 入 代 码 和 l o a d e r 加 载 功 能 ， 主 要 是 可 以 编 译 成 b o f 文 件 给 C o b a l t   S t r i k e 使 用 。 c # 代 码 l o a d e r 的 部 分 直 接 C r e a t e R e m o t e T h r e a d 就 运 行 s h e l l c o d e 了 ， 而 b o f 的 l o a d e r 部 分 使 用 ， 启 动 一 个 新 进 程   p a c 注 入 执 行 。 c # 和 B o f 会 写 入 当 作 标 记 ， 在 读 取 s h e l l c o d e 时 通 过 这 个 字 符 就 可 以 直 接 定 位 到 s h e l l c o d e 了 。 「 注 入 「 注 入 s h e l l c o d e 到 签 名 的 到 签 名 的 P E 文 件 」 文 件 」 「 「 l o a d e r 执 行 执 行 s h e l l c o d e 」 」 说 说 原 理 ， 一 句 话 就 是 将 s h e l l c o d e 写 到 了 签 名 时 不 计 算 的 区 域 。 签 名 的 位 置 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / d e b u g / p e - f o r m a t # o p t i o n a l - h e a d e r - d a t a - d i r e c t o r i e s - i m a g e - o n l y B o f D o t N e t E a r l y   B i r d " x F E x E D x F A x C E x F E x E D x F A x C E " c : >   S i g F l i p . e x e   - i   C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 M S B u i l d . e x e   - s   C : T e m p x 8 6 . b i n   - o   C : T e m p c : >   S i g L o a d e r . e x e   - f   C : T e m p M S B u i l d . e x e   - e   T e s t K e y   - p i d   < P R O C E S S _ I D >
i m a g e - 2 0 2 1 0 8 0 9 1 7 5 2 0 8 3 4 7 _ I M A G E _ D A T A _ D I R E C T O R Y   第 4 个 偏 移 的 位 置 （ 从 0 开 始 ） 。 签 名 信 息 的 结 构 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / d e b u g / p e - f o r m a t # t h e - a t t r i b u t e - c e r t i f i c a t e - t a b l e - i m a g e - o n l y
签 名 位 置 灰 色 背 景 的 部 分 ， 不 参 与 签 名 的 h a s h 计 算 。 粗 体 的 部 分 ， 就 是 签 名 的 相 关 内 容 。 S i g F l i p 的 原 理 就 是 将 数 据 隐 写 到 灰 色 的 部 分 。 「 数 字 签 名 结 构 」 「 数 字 签 名 结 构 」 W I N _ C E R T I F I C A T E d w L e n g t h : 此 结 构 体 的 长 度 。 w R e v i s i o n : 在 b C e r t i f i c a t e 里 面 保 护 的 证 书 的 版 本 号 ， 版 本 号 有 两 种 ， 如 下 表 ， 一 般 为 0 x 0 2 0 0 。 值 值 信 息 信 息 W i n 3 2   S D K 中 的 宏 定 义 名 中 的 宏 定 义 名 0 x 0 1 0 0 W i n _ C e r t i f i c a t e 的 老 版 本 W I N _ C E R T _ R E V I S I O N _ 1 _ 0 0 x 0 2 0 0 W i n _ C e r t i f i c a t e 的 当 前 版 本 W I N _ C E R T _ R E V I S I O N _ 2 _ 0 w C e r t i f i c a t e T y p e : 证 书 类 型 ， 有 如 下 表 格 中 的 类 型 ： 值 值 信 息 信 息 W i n 3 2   S D K 中 的 宏 定 义 名 中 的 宏 定 义 名 0 x 0 0 0 1 X . 5 0 9 证 书 W I N _ C E R T _ T Y P E _ X 5 0 9 0 x 0 0 0 2 包 含 P K C S # 7 的 S i g n e d D a t a 的 结 构 W I N _ C E R T _ T Y P E _ P K C S _ S I G N E D _ D A T A 0 x 0 0 0 3 保 留 W I N _ C E R T _ T Y P E _ R E S E R V E D _ 1 0 x 0 0 0 4 终 端 服 务 器 协 议 堆 栈 证 书 签 名 W I N _ C E R T _ T Y P E _ T S _ S T A C K _ S I G N E D t y p e d e f   s t r u c t   _ W I N _ C E R T I F I C A T E   {         D W O R D               d w L e n g t h ;         W O R D                 w R e v i s i o n ;         W O R D                 w C e r t i f i c a t e T y p e ;       / /   W I N _ C E R T _ T Y P E _ x x x         B Y T E                 b C e r t i f i c a t e [ A N Y S I Z E _ A R R A Y ] ; }   W I N _ C E R T I F I C A T E ,   * L P W I N _ C E R T I F I C A T E ;
b C e r t i f i c a t e : 包 含 一 个 或 多 个 证 书 ， 一 般 来 说 这 个 证 书 的 内 容 一 直 到 安 全 表 的 末 尾 。 具 体 的 结 构 参 考   h t t p s : / / d o w n l o a d . m i c r o s o f t . c o m / d o w n l o a d / 9 / c / 5 / 9 c 5 b 2 1 6 7 - 8 0 1 7 - 4 b a e - 9 f d e - d 5 9 9 b a c 8 1 8 4 a / A u t h e n t i c o d e _ P E . d o c x 最 值 得 注 意 的 是 的 字 节 大 小 要 求 8 字 节 对 齐 。 i m a g e - 2 0 2 1 0 8 1 0 1 4 3 9 0 3 4 6 7 修 改 要 做 的 步 骤 根 据 _ I M A G E _ D A T A _ D I R E C T O R Y   获 取 的 R V A 和 大 小 ， 添 加 数 据 到 后 面 ， 再 注 意 8 字 节 对 齐 即 可 。 P s : 为 什 么 添 加 数 据 在 b C e r t i f i c a t e 后 面 不 影 响 证 书 的 校 验 呢 ， 我 原 本 想 找 找 P K C S # 7 证 书 的 结 构 看 看 的 ， 搜 了 一 圈 ， 也 没 找 到 比 较 好 的 。 但 是 可 以 猜 测 ， 既 然 有 8 位 对 齐 的 校 验 ， 说 明 后 面 添 加 几 个 字 符 是 没 有 影 响 ， 再 可 以 反 推 出 ， 每 个 字 段 都 有 一 个 长 度 字 段 控 制 。 所 以 后 面 无 论 我 们 添 加 多 少 字 段 ， 对 证 书 的 校 验 都 不 会 影 响 。 再   更 新   d w L e n g t h   大 小 更 新 的 s i z e 。 W I N _ C E R T _ T Y P E _ P K C S _ S I G N E D _ D A T A b C e r t i f i c a t e W I N _ C E R T I F I C A T E b C e r t i f i c a t e _ I M A G E _ D A T A _ D I R E C T O R Y [ W I N _ C E R T I F I C A T E   ]
更 新 P E 头 的 （ 这 个 可 选 ） 手 动 修 改 有 了 上 面 的 描 述 ， 我 们 可 以 手 动 修 改 试 试 ， 以 “ 微 信 ” 为 例 ， 用 它 的 主 程 序 ， 数 字 签 名 也 都 正 常 。 i m a g e - 2 0 2 1 0 8 1 0 1 5 1 2 1 2 4 0 9 用 打 开 w e c h a t . e x e ， 定 位 到 证 书 表 的 选 项 C h e c k S u m C F F   E x p l o r e
i m a g e - 2 0 2 1 0 8 1 0 1 5 1 3 3 6 8 7 2 可 以 知 道 证 书 的 位 置 在 文 件 偏 移 的 ， 大 小 是 0 0 0 0 3 5 F 8 用 跳 转 到 这 个 地 方 0 0 0 E A 8 0 0 0 1 0   E d i t o r
i m a g e - 2 0 2 1 0 8 1 0 1 5 1 7 2 2 7 8 8 头 部 对 应 上 数 据 结 构 的 值 d w L e n g t h   =   0 x 3 5 f 8 w R e v i s i o n = 0 x 0 2 0 0 w C e r t i f i c a t e T y p e = 0 x 0 2 后 面 即 证 书 的 字 节 了 ， 跳 转 到 最 后 可 以 看 到 有 七 个 字 节 用 作 了 对 齐 t y p e d e f   s t r u c t   _ W I N _ C E R T I F I C A T E   {         D W O R D               d w L e n g t h ;         W O R D                 w R e v i s i o n ;         W O R D                 w C e r t i f i c a t e T y p e ;       / /   W I N _ C E R T _ T Y P E _ x x x         B Y T E                 b C e r t i f i c a t e [ A N Y S I Z E _ A R R A Y ] ; }   W I N _ C E R T I F I C A T E ,   * L P W I N _ C E R T I F I C A T E ;
i m a g e - 2 0 2 1 0 8 1 0 1 5 1 9 1 1 4 3 8 我 们 可 以 在 后 面 添 加 自 己 需 要 的 字 节 ( 要 是 8 的 倍 数 ) ， 例 如 我 添 加 1 6 个 。 i m a g e - 2 0 2 1 0 8 1 0 1 5 2 1 5 1 9 9 0 所 以 新 的 长 度 就 是 0 x 3 5 f 8 + 1 6   =   0 x 3 6 0 8   , 新 的 长 度 更 新 到 两 个 地 方 更 新   d w L e n g t h   大 小 更 新 的 s i z e 。 最 后 它 的 证 书 也 是 正 常 的 。 _ I M A G E _ D A T A _ D I R E C T O R Y [ W I N _ C E R T I F I C A T E   ]
i m a g e - 2 0 2 1 0 8 1 0 1 5 2 5 0 2 5 6 6 防 御 手 法 检 查 是 否 安 装 了   M S 1 3 - 0 9 8   K B 2 8 9 3 2 9 4   ( 一 般 默 认 不 安 装 ) 检 查 注 册 表 历 史 早 在 2 0 1 3 年 ， 就 有 人 发 现 c h r o m e 的 安 装 包 会 在 证 书 处 写 自 己 的 安 装 信 息 。 h t t p s : / / b l o g . d i d i e r s t e v e n s . c o m / 2 0 1 3 / 0 8 / 1 3 / a - b i t - m o r e - t h a n - a - s i g n a t u r e / 增 强 对 抗 H K L M : S o f t w a r e M i c r o s o f t C r y p t o g r a p h y W i n t r u s t C o n f i g H K L M : S o f t w a r e W o w 6 4 3 2 N o d e M i c r o s o f t C r y p t o g r a p h y W i n t r u s t C o n f i g
l o a d e r 就 可 以 按 s h e l l c o d e 的 加 载 方 式 进 行 了 ， 通 常 一 个 C r e a r e R e m o t e T h r e a d 就 可 以 启 动 了 。 在 对 抗 中 执 行 可 以 更 复 杂 一 点 ， 对 于 白 加 黑 运 行 ， 运 行 s h e l l c o d e 可 以 劫 持 返 回 地 址 ， 或 者 注 入 到 主 程 序 的 入 口 来 执 行 。 广 告 插 播 一 个 广 告 ， 我 也 开 始 做 知 识 星 球 了 ， 侧 重 点 在 于 对 各 类 黑 客 工 具 的 原 理 以 及 关 于 一 些 自 动 化 扫 描 的 研 究 ， 创 立 知 识 星 球 的 目 的 是 想 促 使 我 继 续 研 究 以 及 将 研 究 转 换 成 文 档 。 知 识 星 球 也 会 不 定 时 发 布 我 平 时 研 究 比 较 好 玩 的 东 西 当 作 作 业 。 加 入 后 三 天 内 可 以 全 额 退 款 ， 可 以 先 加 入 看 看 呢 。 公 众 号 回 复   知 识 星 球   即 可 获 得 获 得 进 入 的 二 维 码 和 8 折 优 惠 券 ( 前 1 0 0 名 有 效 ) 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理