学习笔记-第十六章 恶意代码分析实战

最新推荐文章于 2021-08-23 10:55:59 发布
最新推荐文章于 2021-08-23 10:55:59 发布
阅读量566 收藏 1
点赞数
分类专栏： malware analysis 文章标签： 恶意代码分析实战
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Yes_butter/article/details/88942970
版权

第十六章 反调试技术

	反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识
到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地
延长恶意代码的分析时间。
1.探测Windows调试器
	<1>使用Windows API 使用Windows API函数探测调试器是否存在是最简单的反调试技术。
		IsDebuggerPresent 查询进程环境块中的IsDebugged标志
		CheckRemoteDebuggerPresent 用来检测本地机器中的一个进程是否运行在调试器中。
		NtQueryInfomationProcess 这个函数是Ntdll.dll中的一个原生态API，它用来提取一个给
		定进程的信息。它的第一个参数是进程句柄，第二个参数告诉我们它需要提取进程信息
		的类型，例如将该参数位置为ProcessDebugPort，将会告诉这个句柄标识的进程是否正
		在被调试。
		
		OutPutDebugString 这个函数的作用是在调试器中显示一个字符串。同时，它也可以用来
		探测调试器的存在。如代码清单16-1所示，使用SetLastError函数，将当前的错误码设置
		为一个任意值。如果进程没有被调试器附加，调用OutputDebugString函数，获取的错误
		码不是我们所设置的。
		
		<2>手动检测数据结构
			[1].检测BeingDebugged属性，Windows操作系统维护每个正在运行的进程PEB结构，
			恶意代码通过检查BeingDebugged标志，判断是否正在被调试
			
			OllyDbg的一些插件可以帮助我们修改BeingDebugged标志。Hide Dbugger,Hidedebug
			和phantom。
			
			[2].检测ProcessHeap属性 这个属性位于PEB结构的0x18处。第一个堆头部有一个属性
			字段，它告诉内核这个堆是否在调试器中被创建。这些属性叫做ForceFlags和Flags。
			
			对付这种反调试技术最简单的方法就是手动修改ProcessHeap标志，或者使用调试器
			隐藏调试插件。如果你使用的调试器是WinDbg，则以禁用调试堆栈来启动进程。例如
			windbg-hd notepad.exe命令在与调试模式相反的正常模式下启动程序，在这个模式下，
			上文讨论的flags标志不会被设置。
			
			[3].检测NTGlobalFlag 由于调试器中启动进程与正常模式下启动进程有些不同，所以它
			们创建内存堆的方式也不同。系统使用PEB结构偏移量0X68处的一个未公开位置，来
			决定如何创建堆结构。如果这个位置的值是0x70，我们就知道进程运行在调试器中。
			
		<3>系统痕迹检测 可以通过查看注册表表项，判断是否被调试。
		HKLM\SOFEWARE\Microsoft\Windows NT\CurrentVersion\AeDebug
2.识别调试器的行为。 在逆向工程中，为了帮助恶意代码分析人员进行分析，可以使用调试器
设置一个断点，或是单步执行一个进程。然而，在调试器中执行这些操作时，它们会修改进程
中的代码。

	<1>INT扫描 调试器断点的基本机制是用软件中断指令INT 3，临时替换运行程序中的一条指令
	，然后当程序运行到这条指令时，调用调试异常处理例程。INT 3指令的机器码是0XCC，因
	此无论何时，使用调试器设置一个断点，都会插入一个0XCC来修改代码。
	
	恶意代码常用的一种反调试技术是在它的代码中查找机器码0XCC，来扫描调试器对它代码
	的INT 3修改。
	
	<2>执行代码校验和检查 恶意代码可以计算代码段的校验并实现与扫描中断相同的目的。与
	扫描0XCC不同，这种检查执行恶意代码机器码CRC(循环冗余校验)或者MD5校验和检查。
	
	<3>时钟检测 被调试时，进程的运行速度大大降低。
	 - 记录执行一段操作前后的时间戳，比较俩个时间戳，如果存在滞后，则可以认为存在调试器。
	 - 记录触发一个异常前后的时间戳。如果不调试进程，可以很快地处理完异常，因为调试器处
	 理异常的速度非常慢。默认情况下，调试器处理异常需要人为干预。
	 
	 - 使用 rdstc 时钟检测方法。 操作码0X0F31
	 - 使用 queryPerformanceCounter和GetTickCount。 这俩个Windows API函数被用来执行一
	 个反调试的时钟检测。调用俩次查询计数器。判断调用时间差。

3.干扰调试器功能。 除了上文介绍的反调试方法外，恶意代码还可以用一些技术来干扰调试器
的正常运行。例如，线程本地存储(TLS)回调，异常，插入中断等。这些技术当且仅当程序处于
调试器控制之下时才试图扰乱程序的运行。

	使用TLS回调。
	使用异常 调试器利用中断产生异常，来执行类似于断点的操作。恶意代码可以使用异常来破坏
	或者探测调试器。调试器捕获异常后，并不会立即将处理权返回调试进程处理，大多数利用异
	常的反调试技术和往往据此来探测调试器。多数调试器默认的设置是捕获异常后不将异常传递
	给应用程序。如果调试器不能将异常结果正确返回到调试进程，那么这种异常失效可以被进程
	内部的异常处理机制探测。
	
	插入中断 在合法指令序列中插入中断，破坏程序的正常运行。
	
	插入INT 3。双字节操作码0XCD03也可以产生INT 3中断，这是恶意代码干扰WinDbg调试器的
	有效方法。在调试器外，0XCD03指令产生一个STATUS_BREAKPOINT异常。然而，在
	WINDBG调试器内，由于断点通常是单字节机器码0XCC，因此WinDbg会捕获这个断点，然
	后将EIP加一字节。这可能导致程序在被正常运行的WINdbg调试时，执行不同的指令集。
	
	插入INT 2D断点
	
	插入ICE断点 片内仿真器(ICE)断点指令icebp(操作码0XF1)是Intel未公开的指令之一。由于
	使用ICE难以在任意位置设置断点，因此icebp指令被设计用来降低使用ICE设置断点的难度。

4.调试器漏洞。 与所有软件一样，调试器也存在漏洞，有时恶意代码编写者为了防止被调试，或攻击这些漏洞。

实验

Lab16-1
使用一款调试器分析Lab16-01.exe中的恶意代码。Lab16-01.exe是与Lab09-01.exe相同的恶意代码，不同点在于Lab16-01.exe加入了反调试技术。
问题

1.这个恶意代码使用了那些反调试技术？
  检测isDebugged,ProcessHeap,
在这里插入图片描述在这里插入图片描述
在这里插入图片描述
2.当每种反调试技术成功执行时，有什么现象？
  调用函数删除自身

3.如何应对这些反调试技术？
  使用插件隐藏这些标志位。

4.如何在调试过程中手动修改检测的数据结构？
  isDugged在OD的命令行输入“ dump fs:[30]+0x02,然后去修改内容
  ProcessHeap在命令行输入 "dump ds:[fs:[30]+0x18]+0x10,然后去修改内容

5.哪一种OllyDbg插件可以帮你逃避恶意代码的反调试技术？
  phantom隐藏插件

Lab16-2

使用调试器分析恶意代码Lab16-02.exe。本实验的目的是找出正确的密码。另外，恶意代码放弃使用攻击负载(payload)
问题

1.命令行中运行Lab16-02.exe,会发生什么？

2.当使用猜测的命令行参数运行Lab16-02.exe,会发生什么？
猜测答案错误。

3.命令行密码是什么？
在这里插入图片描述
4.使用IDA Pro加载Lab16-02.exe。在main函数的何处可以找到strncmp函数？
在这里插入图片描述
5.在默认设置下，将这个恶意代码加载到OllyDbg中会发生什么？
  直接退出在这里插入图片描述
6.Lab16-02.exe中PE结构的独特之处是什么？
  使用了在资源段有TLS段，回调。

7.回调(callback)发生在那些位置？(提示:IDA PRO使用ctrl+e组合键)
在这里插入图片描述
在这里插入图片描述
8.恶意代码使用哪一种反调试技术使它在调试器中立即终止运行？如何避免这种检查？
  由于调试器的功能比较强大，所以直接显示了正确结果。隐藏了ollydbg的存在。

9.当你禁用反调试技术后，你在调试器中看到的命令行密码是什么？
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
10.调试器中找到的密码在命令行中运行有效吗?
  如果没有隐藏在调试器是无效的，因为会动态修改密码。

11.那种反调试技术为调试器和命令行设置不同的密码？如何防御它们？
  判断是否在调试器中打开，并且改变密码。
在这里插入图片描述

Lab16-3

使用调试器分析Lab16-03.exe中的恶意代码。这个恶意代码在Lab09-02.exe中相似，不同之处是做了一些修改，引入了反调试技术。
问题

1.当使用静态分析法分析这个二进制文件时，你看到了那些字符串？
在这里插入图片描述
2.当运行这个二进制文件时会发生什么？
  运行之后没有任何活动。

3.如何重命名它，才能使这个二进制文件正常运行？
  比较之后发现需要重命名为peo.exe。 如果调试器没有隐藏会出现不同的字符。
在这里插入图片描述
4.这个恶意代码使用了那些反调试技术？
在这里插入图片描述

  • 第一次调用是用来动态修改判断的文件名。
    在这里插入图片描述
    在这里插入图片描述

  • 第二次调用
    在这里插入图片描述

  • 第三次调用
    在这里插入图片描述
    5.对每一种反调试技术而言，如果恶意代码确定它运行在调试器中，它将做什么？
      第一次失败会修改判断的文件名，来阻碍分析。
      第二次失败会引发内存访问错误，中断运行
      第三次失败会调用命令行删除自身。

6.为什么反调试技术在这个恶意代码中能够成功？
  使用除0异常，因为在调试器中处理这个异常会比正常运行要慢，所以通过比较时间来判断是否在调试器中运行。
7.恶意代码使用了什么域名？在这里插入图片描述

浅夜。
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
[网络安全自学篇] 八十八.基于机器学习的恶意代码检测技术详解
杨秀璋的专栏
07-19 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了传统的恶意代码检测技术，包括恶意代码检测的对象和策略、特征值检测技术、校验和检测技术、启发式扫描技术、虚拟机检测技术和主动防御技术。这篇文章将介绍基于机器学习的恶意代码检测技术，主要参考郑师兄的视频总结，包括机器学习概述与算法举例、基于机器学习方法的恶意代码检测、机器学习算法在工业界的应用。同时，我再结合自己的经验进行扩充，详细分享了基于机器学习的恶意代码检测技术，基础性文章，希望对
恶意样本分析-Lab16-01 反调试1分析
LoopherBear的博客
05-25 530
恶意样本分析-Lab16-01 反调试1分析 这个样本是随书《恶意代码分析实战》第十六章的样本，主要用来熟悉反调试的一些手段，这个算是样本分析中需要掌握的基础知识。这篇笔记会包含了静态分析和静态分析。基本要求 在分析这个样本之前可以先看一下恶意样本分析–16Windows中一些常用的反调试记录 静态分析 静态分析就不做PE信息的分析，直接走IDA分析，这个过程尽量不走伪代码分析，分析汇编指令，便于在x64dbg上分析时快速定位。 由于已经在第九章分析了，因此这里关注到反调试手段。首先来到入口处看到关键指令
恶意代码分析实战 第十六章课后实验
Stronger_99的博客
04-30 362
先来整体分析一下， 整体看一下发现很多地方都调用了函数 sub_401000，也出现了很多fs:30h。下面分析一下函数sub_401000： 在这里可以看到一个_exit，也就是离开，还调用了函数ShellExecuteA，我们可以使用OD来分析一下，使用OD跳转到地址004010DE，然后下个断点，执行一下： 在堆栈窗口可以看到这里调用了cmd和一个del来进行自...
Windows恶意代码剖析实验
08-01
运用OD（动态分析工具）、IDA（静态分析工具）、PEid（查壳工具）等工具对window恶意代码进行具体分析
学习笔记-第九章 恶意代码分析实战
Yes_butter的博客
03-18 1113
第九章 OllyDbg 1.加载恶意代码 直接加载可执行文件，甚至dll程序。如果恶意代码已经在你的系统上运行，你可以通过附加进程的 方式调试它。另外，ollydbg是一个灵活的调试系统，可以使用命令行选项运行恶意代码，甚至支持 执行DLL中某个函数。 打开一个可执行文件， 使用ollydbg调试恶意代码的最简单方式，是选择ollydbg界面中的File-open 然后浏览到要加载的...
C++ 反反调试（NtQueryInformationProcess）
LYSM
09-17 2110
关于 NtQueryInformationProcess 的反调试参考这篇文章 没错！ 这也是我写的（可能这就是所谓的自己打自己把 /手动滑稽 |ू･ω･` )） 首先我们看下之前写的代码（部分）： status = NtQueryInformationProcess( GetCurrentProcess(), // 进程句柄 ...
学习笔记-第五章 恶意代码分析实战
Yes_butter的博客
03-11 924
第五章 1.加载可执行文件。可以选择加载方式。 使用二进制文件进行反汇编等等。因为恶意代码有时 会带有shellcode，其他数据，加密参数，甚至在合法的PE文件中带有可执行文件，并且包含这 些附加数据的恶意代码在Windows上运行或被加载到IDA Pro时，它并不会被加载到内存。 2.选择合适的反汇编窗口模式 &lt;1&gt;图形模式，图形模式更容易看清流程，对于每一个跳转比较清除 &...
学习笔记-第四章 恶意代码分析实战
Yes_butter的博客
03-04 638
第四章 x86反汇编学习 一。计算机系统被描述为以下六个抽象层次。 1.硬件。 硬件层是唯一的一个物理层，由电子电路组成。这些电路实现了xor,and,or,not门等逻辑运算器的 复杂组合，成为数字逻辑。由于物理特性，硬件很难被软件所操纵。 2.微指令。 微指令又成为固件。微指令只能在为它设计的特定电路上执行。这层由一些微指令构成，它们 从更高的机器码层翻译过来，提供了访问硬件的接口...
学习笔记-第十三章 恶意代码分析实战
Yes_butter的博客
03-25 1238
第13章 数据加密 在恶意代码分析中，术语数据加密是指以隐藏真是意图为目的的内容修改。由于恶意代码 使用加密技术隐藏它们的恶意活动，作为分析人员，要全面的了解恶意代码，就需要掌握 这些技术。 1.分析加密算法的目的 - 隐藏配置信息。如：命令和控制服务器域名 - 窃取信息之前将它保存到一个临时文件。 - 存储需要使用的字符串，并在使用前对其加密。 - 将恶意代码伪装成一个合法的...
学习笔记-第十八章 恶意代码分析实战
Yes_butter的博客
04-09 644
第十八章 加壳和脱壳 加壳可执行文件的俩个主要目的是缩减程序的大小，阻碍对加壳程序的探测和分析。 1.剖析加壳 恶意代码加壳后，分析人员通常只能获得加壳文件，而不能检测原始程序及加壳器。 要脱壳一个可执行文件，我们必须解开加壳所执行的操作，首先，我们需要理解加壳 器的工作原理。 所有加壳器都是将一个可执行文件作为输入，输出一个新的可执行文件。被加壳的可 执行文件经过压缩，加密或者其...
反调试 - NtQueryInformationProcess（ProcessDebugPort，ProcessDebugFlags，ProcessDebugObjectHandle）
LYSM
09-16 4058
NtQueryInformationProcess 是微软 未公开 的一个 API，嗯，这个反调试的方法有一个特点就是 能过吾爱破解版OD！ ，其他版本的OD没有尝试，但相信这种反调试手法可以检测大部分的第三方OD。 首先需要知道的几点： // NtQueryInformationProcess 函数原型 __kernel_entry NTSTATUS NtQueryInformationPro...
NtQueryInformationProcess (反调试)
lwhaaaa的博客
04-26 2765
文章目录0x01 NtQueryInformationProcess ()一、NtQueryInformationProcess ()二、CheckRemoteDebuggerPresent() 0x01 NtQueryInformationProcess () 一、NtQueryInformationProcess () ​ 函数原型： NTSYSAPI NTSTATUS NTAPI NtQueryInformationProcess ( 　　IN HANDLE 　　　　　　　　ProcessHandl
WindowsAPI ——NtQueryInformationProcess
qq_38933606的博客
08-23 1935
NtQueryInformationProcess 获取指定文件大小，in byte。 函数原型 DWORD GetFileSize(__kernel_entry NTSTATUS NtQueryInformationProcess( HANDLE ProcessHandle, PROCESSINFOCLASS ProcessInformationClass, PVOID ProcessInformation, ULONG ProcessInformationLength, PULONG ReturnL
详解反调试技术
热门推荐
houjingyi的博客
10-14 3万+
反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地延长恶意代码的分析时间。为了阻止调试器的分析，当恶意代码意识到自己被调试时，它们可能改变正常的执行路径或者修改自身程序让自己崩溃，从而增加调试时间和复杂度。很多种反调试技术可以达到反调试效果。这里介绍当前常用的几种反调试技术，同时也会介绍一些逃避反
反调试
mslieng1011的博客
11-05 277
PEB BeginDebug : 调试标记位,当值为1,说明本进程处于被调试状态 //获取调试标记位的值 bool begindebug = IsDebuggerPresent(); if(begindebug) { //被调试 } 反反调试方法 : 修改PEB为原始值,OD插件自带了 原始API int info; NtQueryInfomationProcess(GetC
IDA逆向技巧(持续更新)
生命不息 折腾不止
09-02 2万+
读者如果发现错误，请指正。 IDA的逆向分析水平就是一个逆向工程师的水平；7.1 IDA与OD的联合使用 一般使用OD下断点，找到关键代码位置，然后使用IDA静态看流程。 需要注意的是IDA需要与OD基地址对齐，这样才方便在IDA中查找代码位置，具体方式如下： Edit ---> Segment ----- Rebase Program : 设置基地址； 在WINdbg中基地址...
R语言实战笔记--第九章 方差分析
最新发布
08-25
R语言实战笔记第九章介绍了方差分析的内容。方差分析是一种用于比较两个或多个组之间差异的统计方法。在R语言中，可以使用lm函数进行方差分析的回归拟合。lm函数的基本用法是： myfit <- lm(I(Y^(a))~x I(x^2) I(log(x)) var ... [-1],data=dataframe 其中，Y代表因变量，x代表自变量，a代表指数，var代表其他可能对模型有影响的变量。lm函数可以拟合回归模型并提供相关分析结果。 在方差分析中，还需要进行数据诊断，以确保模型的可靠性。其中几个重要的诊断包括异常观测值、离群点和高杠杆值点。异常观测值对于回归分析来说非常重要，可以通过Q-Q图和outlierTest函数来检测。离群点在Q-Q图中表示落在置信区间之外的点，需要删除后重新拟合并再次进行显著性检验。高杠杆值点是指在自变量因子空间中的离群点，可以通过帽子统计量来识别。一般来说，帽子统计量高于均值的2到3倍即可标记为高杠杆值点。 此外，方差分析还需要关注正态性。可以使用car包的qqplot函数绘制Q-Q图，并通过线的位置来判断数据是否服从正态分布。落在置信区间内为优，落在置信区间之外为异常点，需要进行处理。还可以通过绘制学生化残差的直方图和密度图来评估正态性。 综上所述，R语言实战第九章介绍了方差分析及其相关的数据诊断方法，包括异常观测值、离群点、高杠杆值点和正态性检验。这些方法可以用于分析数据的可靠性和模型的适应性。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [R语言实战笔记--第八章 OLS回归分析](https://blog.csdn.net/gdyflxw/article/details/53870535)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值