威胁分析与响应能力—Shellcode分析与检测技巧

已于 2024-01-09 15:40:45 修改
阅读量1k 收藏 1
点赞数
文章标签： 威胁分析
于 2023-08-30 14:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44005305/article/details/132521552
版权

01 shellcode简介

shellcode是一段用于利用软件漏洞而执行的代码，shellcode为16进制的机器码，因为经常让攻击者获得shell而得名。shellcode常常使用机器语言编写。可在暂存器eip溢出后，塞入一段可让CPU执行的shellcode机器码，让电脑可以执行攻击者的任意指令。

1.1 依赖项

因Shellcode有一些依赖关系，所以编写Shellcode存在一定难度。

  • 长度 - 因为 shellcode 利用内存中的特定漏洞，所以序列需要尽可能的高效。这意味着攻击者必须使其长度适合于缓冲区的大小，所有的指令都将在内存空间中运行。如果shellcode的长度大于缓冲区的大小，可能造成程序崩溃或甚至被非法利用（如缓冲区溢出等）。
  • 不允许的字符 - 当shellcode 中出现‘\r’, ‘\n’,0x00等字符时，代码将终止运行。例如，当’Null Bytes’（如0x00值）被读取时，CPU会将它识别为字符串的结束（Null Terminator）。

**1.2 ** Unix Shellcode

Unix操作系统提供了直接访问通信和管理内核的途径—指令int 0x80。因此，当系统调用跟随该指令设置时，shellcode
将直接被赋予以高权限执行的能力。

**1.3 ** Windows Shellcode

在基于Windows的操作系统中，由于内存保护机制，如ASLR（地址空间布局随机化）等，创建shellcode比较困难。

02 内存中查找 API 函数的地址

一般情况下，shellcode会被注入到一个正在运行的进程中，没有任何关于内存状态以及 API
函数地址的预先知识，据此可以得出结论：shellcode不能以静态地址为基础。

如上所述，shellcode不能使用Call CreateProcessA或jmp sub_40100000这样的指令，必须独立运行才能找到所需的 API
函数并手动解析地址。换句话说，要找到使用的DLL需要基于内存中对象的结构。这也是它被称为位置无关代码（PIC）的原因。

示例：要调用GetProcAddress，shellcode 需要找到Kernel32.dllDLL 的地址。

操作流程如下：

**2.1 ** PEB - 过程环境块

因PEB 对象总是被加载到内存的同一个地址FS:[0x30]，所以 shellcode 可以使用。

执行步骤：

  1. 转到 PEB 对象。

  2. 传递PEB_LDR_DATA对象到InMemoryOrderModuleList链表，其中包含有关进程加载模块的信息。在此之后，shellcode 将保存所需模块（通常Kernel32.dll是第三个对象）。

  3. DllBase 使用该字段查找所需 DLL 的基地址。

  4. 找到它的导出表。

  5. 找到想要的功能（如GetProcAddress）。

  6. 使用函数获取函数的地址GetProcAddress。

  7. 最终，使用合适的参数运行想要的功能。

**2.2 ** 使用SEH—结构化异常处理

该技术是通过输入TIB（线程信息块）的第一个属性来访问SEH链的底部，它有一个常数地址–
FS:[0x0]。该地址包含Kernel32.dll模块的默认异常处理程序。要定位所需模块的地址，可以返回内存地址，直到找到模块的入口点为止。（使用MZ签名或0x5A4D为例）。

**2.3 ** 使用TEB——线程环境块

与 SEH 技术一样，可以访问 TEB 对象，该对象在内存中有固定的位置 — FS:[0x18]. 通过这个对象可以进入 SEH 链，如上所述。

**2.4 ** TopStack

该方法依赖于在堆栈中具有所需 API 函数的所需 DLL 的地址，所以并不常见。

**2.5 ** 通过哈希查找API 函数

这种技术也被称为SFHA（Stephen Fewer’s Hash
API）。它使用4个字节来表示DAX寄存器中的DLL！WinAPI内部函数的Hash值。然后向该地址发送JMP调用该函数。需要注意哪个函数从EAX被调用，以及得到了哪些参数（可以在MSDN中查看）。接下来比较内存中的实际值。例如，如果一个shellcode调用Win_Exec函数，将通过每一个DLL！WinApi使用其他技术之一，并带有其他参数（可以通过寄存器调用前的PUSH指令识别）。当输入参数的内存地址时就可以知道该地址的内容是什么（也许是PS1脚本或编码命令）。

03 shellcode检测

对shellcode有所了解之后，下面探讨如何检测 shellcode。

首先注意去掉混淆，解密一个混淆或加密的脚本，以暴露出shellcode真实代码。

**3.1 ** 使用行为模式

如上所述，shellcode 是表示指令的 Opcodes 序列。因此可以找到这个序列并对其进行检查。

如果有恶意程序的源代码运行 shellcode（如 PowerShell 或
JavaScript），可以寻找可能代表Opcodes的值/变量/字符串，该方式有利于找到shellcode本身。

下面来看这条指令：mov ebp, esp。shellcode使用的字符序列可以有多种格式：

  • 十六进制值：8B EC

  • 反斜杠十六进制值：\x8B\EC

  • Unicode 百分比： %u8B%EC

  • 反斜杠 Unicode：\u8B\uEC

  • Array：[0x8B, 0xEC]

重点关注这些字符的序列可以代表 CPU 指令。

04 转储 shellcode

在检测到潜在的 shellcode 后，将其转储到二进制文件是第一步。

  • base64dump.py工具 — 允许查找可能包含 shellcode 的部分并将其转储到二进制文件 ( .bin) 中，以便对其进行分析
  • 参数：

  1. pu — 允许搜索用于百分比 Unicode 编码 ( %u) 的字符串。

  2. bu — 允许搜索用于反斜杠 Unicode 编码 ( \u) 的字符串。

  3. hex — 允许搜索用作十六进制值的字符串。

  4. base64 — 允许使用 Base64 编码搜索字符串。

base64dump.py -e {param} {file} -s {sectionID} -d > {outFile.bin}

允许通过 ID 定位想要的部分，并将其转储到二进制文件中。大多数情况下将选择最大的部分

base 64 dump . py { param }{ file }- s { section ID }- a

显示所选部分的十六进制视图。

  • objdump.pytool — 允许在提取 shellcode 时转储。

  • Using a Hex-Editor — Hex-Editor 可用于删除不相关的部分，剩下的 shellcode代码可以保存到.bin文件中。

05 如何分析shellcode

可以通过两种主要方式分析 shellcode ：静态分析和动态分析。

5.1 静态分析——代码分析

通过静态分析，包含 shellcode 的二进制文件将被转换为可执行文件，并被加载到反汇编程序（如 IDA PRO）中。然后被分析为可执行文件。

用法：

shellcode2exe.py {file.bin}shellcode2exe.bat {32\64} {file.bin} {file.exe}

**5.2 ** 动态分析

scdbg工具–允许模拟shellcode的执行，以便找到它所使用的API函数，这可以表明shellcode的许多行为。

scdbg -s {steps} -f {file.bin}

  • 运行GUI scdbg工具并向其启动二进制文件。

  • 使用FindSC将在加载的二进制文件中找到shellcode的开头。

jmp2it工具–允许在一个专门的进程中执行shellcode，该进程作为可执行文件的
“外壳”。因此可以将调试器附加到运行的进程中，便于分析人员调试shellcode。

  • jmp2it {file.bin} {offset}—offset表示 shellcode 从二进制入口点的偏移量（0x0用于开始）。

shellcode_launcher.exe–与之前的工具类似。

文件的
“外壳”。因此可以将调试器附加到运行的进程中，便于分析人员调试shellcode。

  • jmp2it {file.bin} {offset}—offset表示 shellcode 从二进制入口点的偏移量（0x0用于开始）。

shellcode_launcher.exe–与之前的工具类似。

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-oASXirTV-1693106083375)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]编辑

阶段一：基础入门

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-H9onHb2u-1693106083376)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

网络安全导论

渗透测试基础

网络基础

操作系统基础

Web安全基础

数据库基础

编程基础

CTF基础

该阶段学完即可年薪15w+

阶段二：技术进阶（到了这一步你才算入门）

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yQhZcjPA-1693106083377)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

弱口令与口令爆破

XSS漏洞

CSRF漏洞

SSRF漏洞

XXE漏洞

SQL注入

任意文件操作漏洞

业务逻辑漏洞

该阶段学完年薪25w+

阶段三：高阶提升

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ymusJEdn-1693106083378)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

反序列化漏洞

RCE

综合靶场实操项目

内网渗透

流量分析

日志分析

恶意代码分析

应急响应

实战训练

该阶段学完即可年薪30w+

阶段四：蓝队课程

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-frMq9Yc1-1693106083380)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

蓝队基础

蓝队进阶

该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

攻防兼备，年薪收入可以达到40w+

阶段五：面试指南&阶段六：升级内容

img

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

同学们可以扫描下方二维码获取哦！

教IT的无语强
关注
【转载】shellcode介绍
gclome的博客
02-10 1040
原文链接：https://www.cnblogs.com/gg-mm/p/4156241.html 缓冲区溢出攻击 缓冲区溢出（Buffer Overflow）是计算机安全领域内既经典而又古老的话题。随着计算机系统安全性的加强，传统的缓冲区溢出攻击方式可能变得不再奏效，相应的介绍缓冲区溢出原理的资料也变得“大众化”起来。其中看雪的《0day安全：软件漏洞分析技术》一书将缓冲区溢出攻击的原理阐述得简...
[0day]ShellCode分析
AlwaysBetter
04-27 224
学习了一份shellcode 记录一下分析 #include <stdio.h> #include <string.h> #include <stdlib.h> int main() { __asm { jmp mainbegin __emit 'B' __emit 'E' __emit 'G' __emit 'I' __emit 'N' __emit '\0' } mainbegin: _asm { nop nop
Shellcode详解
最新发布
N阶二进制的博客
06-18 1974
Shellcode是一种小巧、紧凑的机器代码，通常用于利用软件漏洞或注入攻击中。其名称来源于早期的黑客技术，其中的代码通常会启动一个命令行shell（如Bash或cmd），因此称为“shellcode”。不过，现在shellcode不仅仅用于启动shell，还可以执行各种恶意活动，如下载并执行恶意软件、修改系统设置等。
171224 逆向-EvilExe的Shellcode分析
whklhhhh的博客
12-24 488
1625-5 王子昂 总结《2017年12月24日》 【连续第450天总结】 A. JarvisOJ-EvilExe（Shellcode分析） B. ShellCode分析将Shellcode复制到OD随便一段空白处中进行分析 注意跳转执行的时候是从第二个字节开始，第一个字节0xEE是没有用的右击第二个字节，设置EIP进行执行 可以发现它动态获取Kernel32.dll和通过LoadL
shellcode分析技巧
m0_60571990的博客
10-08 478
shellcode分析技巧
shellcode
WEB安全测试学习中……
03-09 1181
<br />Shellcode实际是一段代码（也可以是填充数据），是用来发送到服务器利用特定漏洞的代码，一般可以获取权限。<br />另外，Shellcode一般是作为数据发送给受攻击服务的。 <br />Shellcode是溢出程序和蠕虫病毒的核心，提到它自然就会和漏洞联想在一起，毕竟Shellcode只对没有打补丁的主机有用武之地。网络上数以万计带着漏洞顽强运行着的服务器给hacker和Vxer丰盛的晚餐。漏洞利用中最关键的是Shellcode的编写。由于漏洞发现者在漏洞发现之初并不会给出完整Shell
shellcode检测——libemu原理分析
热门推荐
么刚的专栏
08-22 1万+
一、简介         libemu是一款用C语言实现的基于x86的shellcode检测的库。         它可以支持：                  1、解析x86指令、寄存器模拟、FPU模拟                  2、静态分析、动态分析、W
windows下shellcode检测工具
why99fun的专栏
04-16 929
scdbg http://sandsprite.com/blogs/index.php?uid=7&pid=152 setp1: 下载后直接运行gui_launcher.exe，这款工具也提供命令行解决方案,选上你所要使用的选项(setp2图)，单击launch就可以分析了，本程序还提供自动寻找(setp3图)shellcode入口点操作，你可以尝试选择0到9的偏移地址，让shellcode
浏览器1day攻防与检测.pdf
09-11
综上所述，浏览器1Day攻防与检测是一个涉及多方面知识的复杂领域，包括攻击手段分析、漏洞原理、利用技巧、检测技术和法律合规。有效的防御需要综合运用这些知识，并不断更新以应对新的安全挑战。
web安全渗透测试介绍与实际操作典例分析
HBohan的博客
06-23 1736
渗透测试的意义 渗透测试是站在第三者的角度来思考企业系统的安全性的，通过渗透测试可以发觉企业潜在却未纰漏的安全性问题。企业可以根据测试的结果对内部系统中的不足以及安全脆弱点进行加固以及改善，从而使企业系统变得更加安全，减低企业的风险。 渗透测试的分类 渗透测试按照渗透的方法与视角可以分为以下三类： 黑盒测试 黑盒测试（Black-box Testing）也称为外部测试（External Testing）。采用这种方式时，渗透测试团队将从一个远程网络位置来评估目标网络基础设施，并没有任何目标网络内部拓扑等相关
红队系列-shellcode AV bypass Evasion免杀合集
aming小老弟
11-13 1257
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。
最短shellcode提取方法和测试【原创】
12-13
这是一个windows弹出对话框的shellcode，38个字节 在windows xp sp3下测试 已在vc++6，mingw，cygwin下编译测试
[系统安全] 六十.威胁狩猎 (1)APT攻击检测及防御与常见APT组织的攻击案例分析
杨秀璋的专栏
04-26 864
前文介绍了利用AVClass实现恶意软件家族标注及RAID16经典论文解析。这篇文章将分享APT攻击检测溯源与常见APT组织的攻击案例，并介绍防御措施。基础性基础，希望您喜欢，且看且珍惜。
Metasploit后门免杀与防火墙绕过技巧
# 1. Metasploit后门介绍 ## 1.1 Metasploit概述 Metasploit是一款开源的渗透测试工具，旨在帮助安全研究人员和渗透测试人员有效地发现、证明和利用安全漏洞。它拥有强大的漏洞利用库和丰富的渗透测试工具，可以...
恶意代码分析-第十九章-shellcode分析
每昔的博客
09-13 1938
笔记 shellcode：一个可执行代码的有效载荷，包含可执行代码 加载shellcode分析：在IDApro中分析时，选择处理器类型Interl 80x86 processers，并选择32-bit disassembly 使用位置无关代码： 第一条和第二条指令都是通过将EIP寄存器指定的当前位置加上一个保存在指令中的相对偏移值来计算。所以是位置无关代码 第三条指令是一个访问全局数...
python执行shellcode_使用python检测shellcode
weixin_39695701的博客
02-04 401
看到python东西就有一种莫名的兴奋，个人觉得编程越简单越好，在IT人员被定义成21世纪矿工的今天，代码写的越多只能代表你矿挖的多，但不代表你挖的矿有价值或是可以换取更多的价值。何况国内多少人是在挖人挖剩下的矿渣。 读了DVLabs的一篇文章Shellcode De看到python东西就有一种莫名的兴奋，个人觉得编程越简单越好，在IT人员被定义成21世纪矿工的今天，代码写的越多只能代表你矿挖的多...
恶意代码分析实战 16 Shellcode分析
农夫果园好好喝的博客
01-25 1513
切换回来，208处pop指令会将栈顶也就是224这个地址赋给esi，之后push则是将其压栈，mov指令将esi赋给edi，lodsb指令在这里是将esi赋给eax，esi中的地址是224，该地址的值是多少呢？可以看到该地址的值是49h，也就是将49h赋给eax，之后al赋给dl，dl此时的值就是49h，dl减去41h，所得结果左移4位，然后esi自增，变成了225，同样定位225，按d键，结果如下。这个shellcode使用了一种字母编码的方式，攻击负载的一个字节存储在两个编码字节的低4比特位。
Shellcode的分析调试技巧
沉寂的孤城
10-04 3089
转载请注明出处：http://blog.csdn.net/wangxiaolong_china   下面，我们将分析几个已有的shellcode的功能，通过分析，了解shellcode分析的技巧。 第一个shellcode代码如下：   static char shellcode[]= "\xeb\x17\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x
使用Miasm动态分析shellcode(翻译)
flydream3618的专栏
12-11 2203
         在本文中，我们将使用miasm动态分析研究一个shellcode。该分析包含了对Miasm内部结构的描述，并阐述了miasm的优势。shellcode位于存档dyn_sc_shellcodes.zip中，使用密码infected进行了加密。最终的脚本在这里：dyn_sc_run.py。 (译者注：文章底部会附上下载链接)   概要： 第一次尝试 符号执行 沙盒模拟 ...
利用图片隐藏Shellcode的技巧分析
"这篇资料是关于壳码（Shellcode）隐藏技术的，主要探讨如何将Shellcode藏在图片等不同的文件格式中，以此规避安全检测。由iDefense Labs的研究员Greg MacManus和Michael Sutton共同讲解，内容涵盖了Shellcode的历史...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值