安全漏洞--基于NDAY和0DAY漏洞免杀技巧

待我称王封你为后i 2022-06-16 07:13 1735阅读 0赞

# 一 概念简介 #

0day中的0表示zero，早期的0day表示在软件发行后的24小时内就出现破解版本，现在我们已经

引申了这个含义，只要是在软件或者其他东西发布后，在最短时间内出现相关破解的，都可以叫

0day。 0day是一个统称，所有的破解都可以叫0day。简而言之，0day就是代表还没有公开的漏

洞，nday就是代表已经公开了的漏洞。漏洞开发者在利用0day和Nday时，除了在逃过windos的

自身安全机制的基础上，不可避免的要接触到与杀软对抗的工作，就一般情况来看，如果针对特

定的目标杀软还是有很大可能可以绕过，难点是通用所有的杀软。

另外值得注意的一点，现今主流杀软很多，在通用的前提下，免杀工作往往占用很多时间。

![Center][]

# 二 构造POC #

**2.1 构造POC**

要想利用一个漏洞，首先得构造一个POC样本，构造好的POC，会遭遇杀软的第一层防护，

也就是经常说的静态查杀。  
  
**2.2 必要工具**

MYCCL，VirTest。

**2.3 0day构造**

杀软容易检测的地方，比如：会被检测的堆喷代码或者0322中类似判断文件

存在的这类代码，漏洞触发的经典字节码。  
重灾区：PE结构的嵌入。  
杀软认为危险的函数名或者一些二进制中能看到的字符串。  
  
**2.4 Nday的构造**

漏洞爆出来时所用的代码已经被“黑名单”。

一些杀软对二进制文件漏洞触发点检测很深入。  
  
**2.5 0day 过静态**

宗旨：尽量让代码和二进制文件靠近“正常”或者“随机”。  
方法：加密，混淆，随机数据，压缩。  
  
 **2.6 Nday过静态**

最理想：通过另外一种方法或者类似方法去重新构造一个样本。  
一般时候：可通过前面提到的那些方法使杀软不认识这些文件或代码。

# 三 漏洞触发 #

**3.1 检测**

构造好POC后，运行起来的POC样本能不能过掉杀软正确的触发漏洞走到攻击者的代码，

就是攻击者面临的杀软第二层保护。代表：EMET  
  
**3.2 涉及点**

堆喷，GS栈保护，ROP，DEP，ASLR，HOOK  
  
**3.3 堆喷技术**

有些时候攻击者不能预先知道自己的东西出现在什么地方的时候，就需要用到堆喷技术使

恶意代码出现在一定的地址范围内，比如CALL EAX。现在杀软对堆喷都有一定的检测，

所以在堆喷时必须注意一些地方。这里大概总结出了三个方面。  
  
 **3.4 堆喷地址**

杀软中的堆喷地址 。0x0c0c0c0c  
  
堆喷内容的检测。0x41414141  
  
堆喷方法的权衡。

GS栈的保护机制->栈溢出

原理图

![Center 1][]

性能影响很大，需要编译时设置，只针对一些开发者认为比较重要的模块。

**3.5 系统流程**  
  
\_security\_init\_cookie

save in \_security\_cookie

\_security\_check\_cookie  
  
**3.6 Bypass GS栈保护**

利用未被保护的内存突破GS 。  
基于改写函数指针的攻击，如C++虚函数攻击。  
针对异常处理机制的攻击。  
堆溢出没有保护。

**3.7 DEP**

DEP(Data Execution Prevention)，分为硬件DEP和软件DEP，这里主要讨论软件DEP，DEP

维基百科的解释：数据执行保护，简称“DEP”，英文全称为“Data Execution Prevention”，是

一组在存储器上运行额外检查的硬件和软件技术，有助于防止恶意程序码在系统上运行。”

对攻击者来说，自己的代码必然是通过外部的手段传进去的，所以经常用来放代码的方法，

比如string，数组，在内存中是不可执行的内存页，也就是数据页，必然的，我们在漏洞触发

后紧接着需要改变该内存的属性，这都是可以通过调用函数来实现的。

利用函数：

VirtualProtect，

VirtualAlloc，

NtSetInformationProcess。

杀软中的DEP

杀软在漏洞触发点对DEP的加固一般是通过hook相关函数来实现的，要绕过杀软保护一般情况下

可以直接跳过hook代码或者调用更加底层的函数来实现。

无杀软环境下：  
  
  
![Center 2][]

诺顿360环境下：

![Center 3][]

**3.8 ASLR**

ASLR的定义：“位址空间配置随机加载（英语：Address space layout randomization (ASLR)），

又称为位址空间布局随机化，是指利用随机方式配置资料位址。一般现代操作系统中都加设这一

机制，以防范恶意程式对已知位址进行攻击。”

ASLR通俗的讲就是伪随机化模块加载地址，这项安全技术主要针对的是ROP，因为ROP是通

过人为的构造，如果要用到的代码在内存中的地址是随机的，那么ROP的部署将不再是那么容易的。  
在杀软中的ASLR在win7中的ASLR在每次重启后，加载地址会有一定随机的变化，但是在杀软中加

载地址的随机性更高一些。  
  
**3.9 ROP**

这里有必要对ROP进行简单介绍，ROP全称是返回导向编程，其字面概念比较晦涩，下面给

出一个图解释一下简单的ROP：  
  
  
![Center 4][]  
  
  
  
所以ROP是为了突破DEP+ASLR环境。

# 四 shellcode #

**4.1 杀软**

对于主流杀软来说，当漏洞已经成功触发走到攻击者的代码，也就是shellcode时，也许真正的

免杀工作才刚刚开始。  
核心点

![Center 5][]

**4.2 举例**

现今杀软对于漏洞触发后的行为检测有一些参差不齐的水平。行为检测的比较好的杀软代表：

卡巴斯基(卡巴)，比特梵德(bit)。卡巴和bit检测都是在驱动级上，如果想深入了解其行为检测

的细节，需要逆向其驱动。  
  
**4.3 行为查杀**

这个是一项很笼统的概念，并没有明确规定孰是孰非，而且不同杀软行为查杀的能力也不同，但

是核心思想是扰乱行为和拆分行为，这里举一些例子来说明。  
  
 **4.4 例1**

文档类漏洞中查找文件handle，伪代码如下

add HANDLE,4  
…push 0x2014  
…CALL SetFilePointer//设置对应句柄读取位置为特定位置  
…CALL ReadFile //读取我们设置好的标志。

正常代码中不会存在挨个打开handle去读其中内容的操作。

解决办法：拆分行为  
  
**4.5 例2**

漏洞的一般流程：释放文件，执行文件

![Center 6][]

拆分行为，比如：省去其中一步；分开这些步骤(没有验证)

扰乱行为，比如：伪装调用失败；进入函数的方式；dll加载时…

# 五 返回空间 #

**5.1 EMET**

返回进程空间是漏洞的最后一步，也就是经常所说的完美退出，一般情况下如果完美恢复堆栈

和寄存器，这步操作是不会受到杀软的阻挡的，但也有例外，比如覆盖异常。覆盖异常会碰到

一些针对该攻击的安全手段，SEHOP，SAFESEH。这个情况主要是针对EMET来说。

![Center 7][]

**5.2 SAFESEH**

SAFESEH由于需要编译支持，而且杀软上一般是没有相关设置，要想逃过这个机制只需要有可执行的

堆上的代码就可以绕过，就不阐述了。  
  
 **5.3 SEHOP特点**

SHE handler必须指向non-SafeSEH module

内存页必须可执行

SHE链表不应被篡改，并且位于链表末端的SHE结构必 须为特定值

(next SHE指针值为0xFFFFFFFF， SHE handler也必须为一特定值)

所有的SHE结构必须为4-byte对齐

最后一个SHE结构的handler必须正确指向ntdll中的ntdll!FinalExceptionHandler例程

所有SHE指针必须指向栈中。  
  
 **5.4 Bypass SEHOP**

如果遇到SEHOP，而又要必须用到覆盖异常攻击时，只有一条路可走，就是构造一个伪造的SHE异

常处理链表。

# 六 资料参考 #

POC   
[http://baike.baidu.com/item/POC%E6%B5%8B%E8%AF%95][http_baike.baidu.com_item_POC_E6_B5_8B_E8_AF_95]

ASLR   
[http://baike.baidu.com/item/aslr][http_baike.baidu.com_item_aslr]

DEP   
[http://baike.baidu.com/item/DEP/7694630][http_baike.baidu.com_item_DEP_7694630]

Bypass  
[http://blog.csdn.net/apxar/article/details/10366649][http_blog.csdn.net_apxar_article_details_10366649]

shellcode  
[http://shell-storm.org/][http_shell-storm.org]

EMET  
[https://www.microsoft.com/en-us/download/details.aspx?id=54265][https_www.microsoft.com_en-us_download_details.aspx_id_54265]

[Center]: /images/20220616/9859d0681e1f4292b1104e0501b5bf34.png
[Center 1]: /images/20220616/53deba9e5b5e48bdb39bbf8c3de52522.png
[Center 2]: /images/20220616/65b93483a4ad4515bf04c5d6bb74b61e.png
[Center 3]: /images/20220616/7b88a35ec0c8424697d1d39272163928.png
[Center 4]: /images/20220616/b05a43353184432fb9b16f21b8eeb816.png
[Center 5]: /images/20220616/e75e3cc2b1dd48ec8abc55831dced685.png
[Center 6]: /images/20220616/ee63f4aaf2f845d892c24c23e565ed00.png
[Center 7]: /images/20220616/4838b2cd992143e1ab727abe71280c3c.png
[http_baike.baidu.com_item_POC_E6_B5_8B_E8_AF_95]: http://baike.baidu.com/item/POC%E6%B5%8B%E8%AF%95
[http_baike.baidu.com_item_aslr]: http://baike.baidu.com/item/aslr
[http_baike.baidu.com_item_DEP_7694630]: http://baike.baidu.com/item/DEP/7694630
[http_blog.csdn.net_apxar_article_details_10366649]: http://blog.csdn.net/apxar/article/details/10366649
[http_shell-storm.org]: http://shell-storm.org/
[https_www.microsoft.com_en-us_download_details.aspx_id_54265]: https://www.microsoft.com/en-us/download/details.aspx?id=54265