设为首页收藏本站
查看: 4584|回复: 2

[翻译]规避技术：操作系统特征

[复制链接]
梦幻的彼岸
  • TA的每日心情
    开心
    2022-1-9 18:41

    • 签到天数: 5 天

    [LV.2]偶尔看看I
    发表于 2021-9-12 16:44:42 | 显示全部楼层 |阅读模式
    备注
    原文地址：https://evasions.checkpoint.com/techniques/os-features.html
    原文标题：Evasions: OS features
    更新日期：2021年5月21日
    此文后期：根据自身所学进行内容扩充
    因自身技术有限，只能尽自身所能翻译国外技术文章，供大家学习，若有不当或可完善的地方，希望可以指出，用于共同完善这篇文章。


    目录
    • 操作系统特征检测方法
    • 1. 检查调试权限
    • 2. 使用不平衡的堆栈
    • 反制措施
    • 归功于

    操作系统特征检测方法
    该组中的规避技术利用了操作系统的工作方式的特征性。
    1. 检查调试权限
    如果恶意软件在调试器或像Cuckoo这样的沙盒中运行，其进程令牌将有一个调试权限处于启用状态。发生这种情况是因为该权限在父进程中启用，并由恶意软件进程继承。

    恶意软件试图用PROCESS_ALL_ACCESS访问权打开关键的系统进程，如csrss.exe、smss.exe、lsass.exe，然后试图终止它们。在正常情况下，当恶意软件从资源管理器或命令行执行时，这将失败，因为即使是管理员用户也不能终止这些进程。但是，如果进程令牌在启用状态下具有调试权限，这将取得成功。终止关键的系统进程会导致操作系统崩溃，出现0x000000F4的错误，所以伪装过程会被中止。
    获取正在运行进程快照的函数：
    • CreateToolhelp32Snapshot
    • psapi.EnumProcesses (WinXP, Vista)
    • kernel32.EnumProcesses (Win7+)

    用来启动进程的函数：
    • OpenProcess(PROCESS_ALL_ACCESS, ..., pid) // track for PIDs of 'csrss.exe', 'smss.exe', 'lsass.exe'

    代码样本
    1. /*
    2. 中文：
    3. 如果我们正在被调试，并且该进程有SeDebugPrivileges 权限，那么OpenProcess的调用将是成功的。
    4. 这需要管理员的权限!在Windows XP、Vista和7中，在调用OpenProcess时有
    5. PROCESS_ALL_ACCESS调用OpenProcess会失败，即使启用了SeDebugPrivilege。
    6. 这就是为什么我使用PROCESS_QUERY_LIMITED_INFORMATION。
    7. English:
    8. If we're being debugged and the process has SeDebugPrivileges
    9. privileges then OpenProcess call will be successful.
    10. This requires administrator privilege!
    11. In Windows XP, Vista and 7, calling OpenProcess with
    12. PROCESS_ALL_ACCESS will fait even with SeDebugPrivilege enabled,
    13. That's why I used PROCESS_QUERY_LIMITED_INFORMATION
    14. */

    16. DWORD GetCsrssProcessId()
    17. {
    18.   if (API::IsAvailable(API_IDENTIFIER::API_CsrGetProcessId))
    19.   {
    20.     auto CsrGetProcessId = static_cast<pCsrGetId>(API::GetAPI(API_IDENTIFIER::API_CsrGetProcessId));

    22.     return CsrGetProcessId();
    23.   }
    24.   else
    25.     return GetProcessIdFromName(_T("csrss.exe"));
    26. }


    29. BOOL CanOpenCsrss()
    30. {
    31.    HANDLE hCsrss = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, FALSE, GetCsrssProcessId());
    32.    if (hCsrss != NULL)
    33.   {
    34.     CloseHandle(hCsrss);
    35.     return TRUE;
    36.   }
    37.   else
    38.     return FALSE;
    39. }
    复制代码

    该代码样本的作者：al-khaser project
    识别标志
    如果OpenProcess在打开一个关键的系统进程时要求所有可能的权限--这是恶意软件试图应用这种规避技术的强烈迹象。
    2. 使用不平衡的堆栈
    这项技术是由Check Point恶意软件逆向工程团队在2016年病毒公告上提出的。它是由这个链接描述的。

    为了跟踪进程行为，CuckooMon/Cuckoo Monitor模块钩住了相关功能。在这种类型的架构中，钩子在原始函数之前被调用。被钩住的函数除了使用原始函数的空间外，还可能使用堆栈上的一些空间。因此，被钩住的函数在堆栈上使用的总空间可能大于仅被原始函数使用的空间。

    问题：恶意软件有关于被调用函数在堆栈上使用多少空间的信息。因此，它可以将堆栈指针移向较低的地址，其偏移量足以存储函数参数、局部变量和返回地址，为它们保留空间。恶意软件用一些相关数据填充堆栈指针下面的空间。然后，它将堆栈指针移到原来的位置并调用库函数。如果该函数没有被钩住，恶意软件会在相关数据之前填入保留的空间（见图1）。如果函数被钩住，恶意软件就会重叠相关数据，因为为原始函数的局部变量保留的空间小于钩子和原始函数的局部变量加起来的空间。因此，相关数据被破坏了（见图2）。如果它存储了一些函数的指针，这些指针在以后的执行过程中被使用，恶意软件就会跳转到任意代码，偶尔会使应用程序崩溃。
    在非拦截函数调用中的堆栈：

    在拦截函数调用中的堆栈：

    解决方案：为了避免这种行为，Cuckoo Monitor/CuckooMon模块可以使用一个两阶段的钩子过程。在第一阶段，代替钩子的代码执行，它可以将堆栈指针移到一个特定大小的较低的地址，足以容纳恶意软件的相关数据。然后，函数的参数被复制到新的堆栈指针下。只有在这些准备工作完成后，第二阶段的钩子（执行真正的钩子）才被调用。恶意软件输入的相关数据驻留在上层堆栈地址，因此它不会以任何方式受到调用函数的影响。
    代码样本
    1. bool Cuckoo::CheckUnbalancedStack() const {
    2.   usf_t f = {
    3.     { lib_name_t(L"ntdll"), {
    4.       {sizeof(void *), NULL, "ZwDelayExecution", ARG_ITEM(kZwDelayExecutionArgs) }
    5.     } }
    6.   };
    7.   const uint8_t canary[8] = { 0xDE, 0xAD, 0xBE, 0xEF, 0xDE, 0xAD, 0xBE, 0xEF };

    9.   uint32_t args_size;
    10.   const void *args_buff;
    11.   uint32_t reserved_size;
    12.   uint32_t reserved_size_after_call;
    13.   uint32_t canary_size;
    14.   FARPROC func;
    15.   bool us_detected;
    16.   void *canary_addr = (void *)&canary[0];
    17.   
    18.   static_assert((sizeof(canary) % sizeof(void *)) == 0, "Invalid canary alignement");
    19.   
    20.   for (auto it = f.begin(), end = f.end(); it != end; ++it) {
    21.     for (auto &vi : it->second) {
    22.       vi.func_addr = GetProcAddress(GetModuleHandleW(it->first.c_str()), vi.func_name.c_str());

    24.       // call to Unbalanced Stack
    25.       args_size = vi.args_size;
    26.       args_buff = vi.args_buff;
    27.       canary_size = sizeof(canary);
    28.       reserved_size = sizeof(void *) + vi.local_vars_size + canary_size;
    29.       reserved_size_after_call = reserved_size + args_size;
    30.       func = vi.func_addr;
    31.       us_detected = false;

    33.       __asm {
    34.         pusha
    35.         mov ecx, args_size
    36.         sub esp, ecx
    37.         mov esi, args_buff
    38.         mov edi, esp
    39.         cld
    40.         rep movsb
    41.         sub esp, reserved_size
    42.         mov ecx, canary_size
    43.         mov esi, canary_addr
    44.         mov edi, esp
    45.         rep movsb
    46.         add esp, reserved_size
    47.         mov eax, func
    48.         call eax
    49.         sub esp, reserved_size_after_call
    50.         mov ecx, canary_size
    51.         mov esi, canary_addr
    52.         mov edi, esp
    53.         repz cmpsb
    54.         cmp ecx, 0
    55.         setnz us_detected
    56.         add esp, reserved_size_after_call
    57.         popa
    58.       }

    60.       if (us_detected)
    61.         return true;
    62.     }
    63.   }

    65.   return false;  
    66. }
    复制代码

    识别标志
    我们不提供识别标志，因为在恶意软件方面跟踪这种行为是非常棘手的。
    反制措施
    • 与检查调试权限相比：拦截OpenProcess并跟踪关键系统进程的PID - 然后返回一个错误。
    • 与使用不平衡堆栈相比。1）在函数调用前调整堆栈；2）在内核模式下拦截。

    归功于
    归功于开源项目，代码样本来自该项目：

    尽管Check Point工具InviZzzible已经实现了所有这些功能，但由于代码的模块化结构，需要更多的空间来展示这个工具的代码样本，以达到相同的目的。这就是为什么我们决定在整个百科全书中使用其他伟大的开源项目作为例子。

    点评

    H.U.C清风
    支持一下  发表于 2024-10-3 16:47
    回复

    使用道具 举报

    H.U.C清风
  • TA的每日心情
    开心
    4 小时前

    • 签到天数: 576 天

    [LV.9]以坛为家II
    发表于 2024-10-3 16:48:41 | 显示全部楼层
    谢谢分享，已回复。
    回复 支持 反对

    使用道具 举报

    返回列表
    高级模式
    B Color Image Link Quote Code Smilies
    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    红盟社区--红客联盟 

    Processed in 0.057752 second(s), 25 queries.

    站点统计| 举报| Archiver| 手机版| 黑屋 |   

    备案号：冀ICP备20006029号-1 Powered by HUC © 2001-2021 Comsenz Inc.

    首页

    资讯

    社区

    互助

    家园

    群组

    文库

    文图

    组织活动

    总排行榜

    个人日志

    音乐电台

    爱心赞助

    每日签到

    微信机器

    微信图片

    手机扫我进入移动触屏客户端

    关注我们可获取更多热点资讯

    Honor accompaniments. theme macfee

    快速回复 返回顶部 返回列表