搜索

[26725] 2021-05-14_cobalstrike免杀：三板斧再锤卡巴

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-05-14_cobalstrike免杀：三板斧再锤卡巴 1 2 3 c o b a l s t r i k e 免 杀 ： 三 板 斧 再 锤 卡 巴 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 5 - 1 4 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 c o b a l s t r i k e 免 杀 ： 三 板 斧 再 锤 卡 巴 免 杀 ： 三 板 斧 再 锤 卡 巴 概 述 这 次 我 们 一 起 来 探 究 如 何 规 避 卡 巴 的 内 存 扫 描 ， 使 得 c o b a l s t r i k e 的 b e a c o n 能 够 存 活 ， 主 要 原 理 就 是 ： 在 b e a c o n 发 送 完 心 跳 包 s l e e p ， 对 自 身 的 内 存 属 性 进 行 修 改 去 除 可 执 行 属 性 和 相 关 加 密 ， 其 实 现 的 方 式 有 以 下 三 种 ： 1 、 V E H   H o o k 2 、 S M C 3 、 I n l i n e H o o k 下 面 会 详 细 讲 述 各 种 方 法 。 同 时 感 谢 B G W i l l 师 傅 的 文 章 ， 让 我 拓 宽 了 见 识 。 相 关 代 码 已 上 传 到 项 目 中 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / C o b a l t s t r i k e S o u r c e / 前 置 操 作 在 项 目 使 用 了 自 定 义 资 源 ， 并 把 b e a c o n 放 在 项 目 的 资 源 中 ， 然 后 通 过 解 析 自 身 的 p e 结 构 找 到 自 身 的 资 源 ， 从 而 进 行 加 载 ， b e a c o n 放 在 资 源 可 以 自 己 异 或 加 密 ， 放 在 b m p 图 片 后 也 是 可 以 的 ： V E H H o o k V E H H o o k 是 基 于 w i n d o w s 异 常 的 一 种 H o o k ， 所 以 这 里 要 介 绍 下 w i n d o w s 异 常 处 理 机 制 。 在 w i n d o w s 中 ， 当 程 序 执 行 过 程 中 发 生 异 常 时 ， 系 统 内 核 的 异 常 处 理 过 程 （ n t ! K i D i s p a t c h E x c e p t i o n ） 便 开 始 工 作 。 当 在 没 有 内 核 调 试 器 存 在 且 异 常 程 序 没 有 调 试 的 情 况 下 ， w i n d o w s 系 统 就 会 把 异 常 处 理 过 程 转 交 给 用 户 层 的 异 常 处 理 过 程 （ n t d l l ! R t l D i s p a t c h E x c e p t i o n ） ， 用 户 层 会 查 找 异 常 程 序 中 是 否 安
装 了 V E H 、 S H E 、 T o p L e v e l E x c e p t i o n H a n d l e r 等 异 常 处 理 过 程 ， 如 果 已 安 装 则 交 给 其 处 理 。 所 以 ， 我 们 需 要 先 在 b e a c o n 端 安 装 相 应 的 异 常 处 理 过 程 ， 然 后 在 发 送 心 跳 包 时 硬 编 码 写 下 i n t 3 断 点 指 令 ， 当 程 序 执 行 到 i n t 3 就 会 触 发 异 常 ， 就 会 在 w i n d o w s 用 户 态 触 发 相 应 的 处 理 过 程 ， V E H - > S H E - > T o p L e v e l E x c e p t i o n H a n d l e r 。 在 这 里 我 们 使 用 i n t 3 + V E H   H o o k ， 因 为 V E H 是 全 局 的 、 基 于 进 程 、 优 先 级 高 。 先 找 到 发 送 心 跳 包 处 : 然 后 在 对 应 p e 文 件 中 找 到 相 应 的 位 置 ， 硬 编 码 上 i n t 3 即 C C ： 然 后 安 装 V e c t o r e d H a n d l e r 过 程 ， 当 程 序 执 行 到 断 定 时 产 生 异 常 ， 该 异 常 会 被 V e c t o r e d H a n d l e r 所 捕 获 ： V e c t o r e d H a n d l e r ( ) 如 下 ， 在 函 数 中 我 们 需 要 判 断 发 生 异 常 的 地 址 是 否 与 预 期 一 致 ， 里 面 的 c o n t e x t 结 构 体 有 详 细 的 栈 、 寄 存 器 信 息 ：
4 W i n 1 0 x 6 4 执 行 效 果 ： W i n 7 x 8 6 执 行 效 果 ： 执 行 任 务 时 内 存 属 性 : 内 存 中 的 断 点 位 置 ： S l e e p 时 的 内 存 属 性 ： S M C S M C （ S e l f - M o d i f y i n g C o d e ） ， 即 能 修 改 自 身 代 码 ， 对 自 己 的 代 码 进 行 打 内 存 补 丁 。 在 b e a c o n 中 ， 我 们 需 要 对 心 跳 包 的 s l e e p ( ) 进
行 打 补 丁 ， 将 其 修 改 我 们 自 定 义 的 M y S l e e p ( ) 。 这 里 需 要 注 意 的 操 作 有 ， 1 ） 因 为 C S 的 b e a c o n 是 反 射 注 入 的 ， 其 反 射 注 入 的 函 数 会 对 其 进 行 重 定 位 ， 所 以 我 们 需 要 对 其 p e 的 重 定 位 数 据 进 行 修 改 ， 否 则 ， 在 打 内 存 补 丁 后 ， 又 被 反 射 注 入 函 数 进 行 重 定 位 ， M y S l e e p 的 函 数 地 址 就 会 出 错 。 这 也 是 不 能 使 用 I i n e H o o k C a l l   I A T 的 原 因 。 经 过 p e 下 数 两 行 半 等 一 系 列 数 手 指 操 作 ， 找 到 需 要 修 改 的 重 定 位 数 据 ： 2 ） 自 定 义 的 M y S l e e p ( ) 函 数 是 s t d c a l l 的 ， 不 然 栈 会 不 平 衡 ： 在 M y s l e e p ( ) 中 ， 需 要 找 到 反 射 注 入 d l l 所 申 请 的 内 存 区 域 ， 所 以 要 从 栈 上 找 到 返 回 地 址 ， 再 去 进 行 相 应 的 判 断 ， 应 该 也 能 使 用 e g g h u n t e r 在 内 存 中 捞 出 所 在 区 域 。 3 ） 修 改 资 源 中 心 跳 包 的 s l e e p ( ) 函 数 地 址 ： W i n 1 0 x 6 4 执 行 效 果 ： W i n 7 x 8 6 执 行 效 果 ：
5 S l e e p 时 的 内 存 属 性 ： I n l i n e H o o k I n l i n e   H o o k 是 直 接 修 改 指 令 的 H o o k ， 使 得 程 序 转 移 了 所 执 行 的 流 程 ， 转 移 的 方 式 也 各 异 ， 主 要 有 j m p x x x x x x x x 、 p u s h x x x x x x x x / r e t n 、 m o v e a x , x x x x x x x x / j m p   e a x 、 c a l l H o o k A d d r ( 输 入 表 地 址 ) 、 H o t P a t c h H o o k 。 使 用 I n l i n e H o o k 要 注 意 几 个 问 题 ： 1 、 是 当 H o o k 操 作 时 的 线 程 安 全 问 题 ， 可 以 先 暂 停 所 有 线 程 ， 再 进 行 H o o k 操 作 ， 最 后 恢 复 线 程 去 避 免 ， 而 I A T H o o k 相 当 于 原 子 操 作 ， 不 存 在 这 问 题 。 因 为 我 们 这 里 是 先 H o o k s l e e p ( ) ， 再 进 行 反 射 注 入 ， 所 以 也 不 存 在 这 问 题 。 2 、 D e t o u r 函 数 重 入 ， 造 成 无 限 递 归 3 、 D e t o u r 函 数 的 线 程 安 全 问 题 ， 避 免 使 用 全 局 变 量 ， 若 使 用 则 要 上 锁 。 这 里 我 们 稍 改 了 下 教 主 的 框 架 ， 没 有 使 用 微 软 的 I n l i n e H o o k 框 架 。 这 里 先 定 义 代 替 S l e e p ( ) 函 数 的 自 定 义 函 数 ， 也 即 是 D e t o u r ( ) : 里 面 的 O r i g i n a l S l e e p 函 数 是 一 条 跳 转 回 去 执 行 系 统 的 S l e e p ( ) 通 道 , 里 面 需 要 恢 复 原 来 的 指 令 ， 及 绕 过 自 己 安 装 的 H o o k ： 获 取 到 需 要 H o o k 函 数 的 地 址 并 记 录 ， 通 过 L o a d L i b r a r y ( ) 、 G e t P r o c A d d r e s s ( ) 获 得 系 统 S l e e p ( ) 函 数 的 地 址 ， 这 里 有 个 地 方 需 要 注 意 ， 或 许 因 为 编 译 版 本 不 同 ， 后 面 可 能 是 F F 2 5 J m p 或 E 9   c a l l 或 者 其 他 ， 这 里 d e b u g 编 译 的 是 F F 2 5 J m p ， 我 们 需 要 获 取 到 J m p 后 面 地 址 所 指 向 的 值 ， 该 值 才 是 真 正 系 统 S l e e p ( ) 函 数 位 置 ： 在 系 统 S l e e p ( ) 地 址 上 ， 写 入 自 己 的 跳 转 代 码 ， 一 个 E 9 J m p 跳 到 先 前 自 定 义 好 的 S l e e p ( ) ： 可 以 看 到 系 统 的 S l e e p ( ) 函 数 已 经 被 H o o k 了 ：
6 一 个 J m p 跳 转 到 我 们 自 定 义 的 M y S l e e p ( ) 中 ： 其 中 有 个 E 8 4 E   E D   F F   F F   这 个 C a l l 是 跳 转 回 O r i g i n a l S l e e p 函 数 ， 即 跳 转 回 去 执 行 系 统 的 S l e e p ( ) 通 道 ： O r i g i n a l S l e e p 函 数 中 一 个 J m p ， 绕 过 了 H o o k ， 执 行 回 系 统 的 S l e e p ( ) 函 数 ： 至 此 I n l i n e H o o k 完 成 。 W i n 1 0 x 6 4 执 行 效 果 ： 小 结 这 次 我 们 通 过 相 关 H o o k 的 方 式 ， 达 到 修 改 内 存 中 B e a c o n 的 属 性 和 数 据 等 目 的 ， 但 操 作 起 来 还 是 有 点 繁 琐 。 谢 谢 大 家 观 看 ， 下 次 我 们 再 继 续 深 究 。 参 考 ： h t t p s : / / x z . a l i y u n . c o m / t / 9 3 9 9 # t o c - 1 加 密 与 解 密
7 关 注 本 公 众 号 不 定 期 更 新 安 全 类 文 章 和 视 频   欢 迎 前 来 关 注
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理