黑客攻击-木马免杀之PE文件

傷城~ 2022-11-28 00:49 277阅读 0赞

当你好不容易弄出来一个木马(具体可参考[这里][Link 1])的时候，却被杀毒软件轻易的就检测出来了，那一切岂不是白费了。Win10中的windows defender基于流量检测很容易把常见的木马程序检测出来，那怎么绕过这些检测？

对于此问题，打算开一个专题进行木马免杀的分析，先从最最重要的PE文件说起，要攻击Windows系统，如果不懂PE文件，面对杀毒软件，则只能束手就擒了。

### PE文件 ###

PE（Portable Execute）文件是Windows下可执行文件的总称，常见的有DLL，EXE，OCX，SYS等，事实上，一个文件是否是PE文件与其扩展名无关，PE文件可以是任何扩展名

PE全称是Portable Execute，实际上，这种文件格式没有做到Portable Execute，只能用在Windwos。

#### 基本结构 ####

32位PE的基本结构如下，64位的大同小异。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]如下是qq的16进制打开后解析出相应的字段，和上图是匹配的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]

##### Dos文件头和Dos块 #####

typedef struct _IMAGE_DOS_HEADER {       // DOS .EXE header
        WORD   e_magic;                     // Magic number
        WORD   e_cblp;                      // Bytes on last page of file
        WORD   e_cp;                        // Pages in file
        WORD   e_crlc;                      // Relocations
        WORD   e_cparhdr;                   // Size of header in paragraphs
        WORD   e_minalloc;                  // Minimum extra paragraphs needed
        WORD   e_maxalloc;                  // Maximum extra paragraphs needed
        WORD   e_ss;                        // Initial (relative) SS value
        WORD   e_sp;                        // Initial SP value
        WORD   e_csum;                      // Checksum
        WORD   e_ip;                        // Initial IP value
        WORD   e_cs;                        // Initial (relative) CS value
        WORD   e_lfarlc;                    // File address of relocation table
        WORD   e_ovno;                      // Overlay number
        WORD   e_res[4];                    // Reserved words
        WORD   e_oemid;                     // OEM identifier (for e_oeminfo)
        WORD   e_oeminfo;                   // OEM information; e_oemid specific
        WORD   e_res2[10];                  // Reserved words
        LONG   e_lfanew;                    // File address of new exe header
      } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER;

对于PE文件来说，有用的是最后一个字段，这个字段指出了真正的PE头在文件中的位置。  
![在这里插入图片描述][20200816202450171.png_pic_center]

#### PE文件头 ####

typedef struct _IMAGE_NT_HEADERS { 
        DWORD Signature;
        IMAGE_FILE_HEADER FileHeader;
        IMAGE_OPTIONAL_HEADER32 OptionalHeader;
    } IMAGE_NT_HEADERS32, *PIMAGE_NT_HEADERS32;

Signature是00004550h，也就是字符’P’和’E’。对于OptionalHeader尽管按照字面的理解是可选的，实际上在每一个PE文件中都是需要的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]每个结构体的具体信息如下：

1.  IMAGE\_FILE\_HEADER ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]最后一个字段Characteristics代表文件的属性。如果是PE文件，这个字段的值是010fh，如果是dll文件，这个字段的值是210eh。
2.  IMAGE\_OPTIONAL\_HEADER32 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]

*  AddressOfEntryPoint指出文件被执行时的入口地址，这个地址是RVA(稍后会介绍)。如果像在程序运行前执行一段程序，那么可以把这个入口地址指向你想执行的程序。
 *  ImageBase指出文件优先载入的地址，一般exe默认优先装入的地址是400000h，而dll是10000000h
 *  SectionAlignment指定了节被装入内存后的对齐单位，FileAlignment指定了节存储在磁盘文件时的对齐单位
 *  DataDirectory ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]很重要的结构，由16个相同的IMAGE\_DATA\_DIRECTORY结构组成。其中有导入表、导出表、资源表数据块。

#### 节表和节 ####

Windows装载器在装载DOS部分，PE文件头部分和节表头部分不进行任何处理，而装载节的时候根据节的属性做不同的处理。下图展示了PE文件到内存的映射。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]

1.  节表 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]

*  VirtualAddress指出节被装载到内存后的偏移位置
 *  PointerToRawData指出节在磁盘文件中所处的位置

### RVA和文件偏移的转换 ###

RVA应该时PE文件相关最重要的概念了，导入表导出表等的定位都需要用到RVA。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]  
下图展示了RVA的含义：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]  
相关计算：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 10]

### msf中巧妙调用ReflectiveLoader ###

在msf中，反射dll注入使用的非常普遍。这段代码后续会详细讲解，这是msf远程控制最核心的一段代码，“小马”（stager）拉"大马"（stage）得以实现，基于的就是这段代码。

def asm_invoke_dll(opts={ })
        asm = %Q^
            ; prologue
              dec ebp               ; 'M'
              pop edx               ; 'Z'
              call $+5              ; call next instruction
              pop ebx               ; get the current location (+7 bytes)
              push edx              ; restore edx
              inc ebp               ; restore ebp
              push ebp              ; save ebp for later
              mov ebp, esp          ; set up a new stack frame
            ; Invoke ReflectiveLoader()
              ; add the offset to ReflectiveLoader() (0x????????)
              add ebx, #{ "0x%.8x" % (opts[:rdi_offset] - 7)}
              call ebx              ; invoke ReflectiveLoader()
            ; Invoke DllMain(hInstance, DLL_METASPLOIT_ATTACH, config_ptr)
              push edi              ; push the socket handle
              push 4                ; indicate that we have attached
              push eax              ; push some arbitrary value for hInstance
              mov ebx, eax          ; save DllMain for another call
              call ebx              ; call DllMain(hInstance, DLL_METASPLOIT_ATTACH, socket)
            ; Invoke DllMain(hInstance, DLL_METASPLOIT_DETACH, exitfunk)
              ; push the exitfunk value onto the stack
              push #{ "0x%.8x" % Msf::Payload::Windows.exit_types[opts[:exitfunk]]}
              push 5                ; indicate that we have detached
              push eax              ; push some arbitrary value for hInstance
              call ebx              ; call DllMain(hInstance, DLL_METASPLOIT_DETACH, exitfunk)
        ^
      end

其中 `add ebx, #{"0x%.8x" % (opts[:rdi_offset] - 7)}` 用来获取ReflectiveLoader的虚拟地址。rdi\_offset获取的是ReflectiveLoader的RVA地址。这段代码翻译过来就是ebx-7 = 基址，然后再加上RVA就得到了ReflectiveLoader的虚拟地址。

### 公众号 ###

更多内容，欢迎关注我的公众号：无情剑客。  
![在这里插入图片描述][2020081621491386.jpg_pic_center]

[Link 1]: https://mp.weixin.qq.com/s?__biz=MzI1NjEyMzgxMw==&mid=2247483985&idx=1&sn=7ad273f4512ff4f0134822f00aecda7f&chksm=ea2a349bdd5dbd8db5bdad9aabcc4e2981c9c263e369bb44213a8ced2270376b1043bbb9f6ea&token=1822064784&lang=zh_CN#rd
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221124/7774782bbd85422dadc6b176586ddbb4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221124/671d866c2c0249b8ac51c069ea281261.png
[20200816202450171.png_pic_center]: /images/20221124/e53211f600954152a4c7c1348abcaa39.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221124/236504c4bfcb474c8b2b11cb917f1ad9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221124/a009deab737647538381284ba7fda612.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221124/95c710b1933c4a9e82d6cc340348fd0e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221124/c6397cced0824d79a55092a3f9f3319f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221124/62277161a9cb4fa891d953cdba5dbbd5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221124/963f712c906842e09367eefb7d6275d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221124/037da2901d184520b3fdbb88950c5029.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221124/bbd86583751b4989bf6c014b25da8f6e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20221124/f451037992c64552b749eeeeb9faec23.png
[2020081621491386.jpg_pic_center]: /images/20221124/825d800992eb4d058e42d6cb57b3892c.png