随笔分类 - 《灰帽黑客：攻守道》
摘要：钩子劫持技术是计算机编程中的一种技术，它们可以让开发者拦截系统函数或应用程序函数的调用，并在函数调用前或调用后执行自定义代码，钩子劫持技术通常用于病毒和恶意软件，也可以让开发者扩展或修改系统函数的功能，从而提高软件的性能和增加新功能。钩子劫持技术的实现一般需要在对端内存中通过`create_alloc()`函数准备一块空间，并通过`assemble_write_memory()`函数，将一段汇编代码转为机器码，并循环写出自定义指令集到堆中，函数`write_opcode_from_assemble()`就是我们自己实现的，该函数传入一个汇编指令列表，自动转为机器码并写出到堆内，函数的核心代码如下所示。
阅读全文
摘要：在Windows平台下，应用程序为了保护自己不被调试器调试会通过各种方法限制进程调试自身，通常此类反调试技术会限制我们对其进行软件逆向与漏洞分析，我们以第一种`IsDebuggerPresent`反调试为例，该函数用于检查当前程序是否在调试器的环境下运行。函数返回一个布尔值，如果当前程序正在被调试，则返回True，否则返回False。函数通过检查特定的内存地址来判断是否有调试器在运行。具体来说，该函数检查了`PEB（进程环境块）`数据结构中的`_PEB_LDR_DATA`字段，该字段标识当前程序是否处于调试状态。如果该字段的值为1，则表示当前程序正在被调试，否则表示当前程序没有被调试。
阅读全文
摘要：发现漏洞的第一步则是需要寻找到可利用的反汇编指令片段，在某些时候远程缓冲区溢出需要通过类似于`jmp esp`等特定的反汇编指令实现跳转功能，并以此来执行布置好的`ShellCode`恶意代码片段，`LyScript`插件则可以很好的完成对当前进程内存中特定函数的检索工作。在远程缓冲区溢出攻击中，攻击者也可以利用汇编指令`jmp esp`来实现对攻击代码的执行。该指令允许攻击者跳转到堆栈中的任意位置，并从那里执行恶意代码。
阅读全文
摘要：通过运用`LyScript`插件并配合`pefile`模块，即可实现对特定PE文件的扫描功能，例如载入PE程序到内存，验证PE启用的保护方式，计算PE节区内存特征，文件FOA与内存VA转换等功能的实现，首先简单介绍一下`pefile`模块。pefile模块是一个用于解析Windows可执行文件（PE文件）的Python模块，它可以从PE文件中提取出文件头、节表、导入表、导出表、资源表等信息，也可以修改PE文件的一些属性。可以用于分析针对Windows平台的恶意软件、编写自己的PE文件修改工具等场景。
阅读全文
摘要：在第一章中我们介绍了`x64dbg`这款强大的调试软件，通过该软件逆向工程师们可以手动完成对特定进程的漏洞挖掘及脱壳等操作，虽然`x64dbg`支持内置`Script`脚本执行模块，但脚本引擎通常来说是不够强大的，LyScript 插件的出现填补了这方面的不足，该插件的开发灵感来源于`Immunity`调试器中的`ImmLib`库，因`Immunity`调试器继承自`Ollydbg`导致该调试器无法支持64位应用的调试，同时该调试器也长期没有开发者进行维护，正是在这种情形之下`LyScript`诞生。
阅读全文
摘要：任何一个成熟的软件都会具有可扩展性，可扩展性是现代软件的一个重要特征，因为它使软件更易于维护和适应变化的需求，`x64dbg`也不例外其可通过开发插件的方式扩展其自身功能，`x64dbg`提供了多种插件接口，包括脚本插件、DLL插件、Python插件和.NET插件等。此外，`x64dbg`还支持用户自定义命令和快捷键。这使得用户可以自由地扩展和自定义软件的功能，从而更好地适应开发需求。我们以`C/C++`语言为开发模板，`x64dbg`插件表现出来的其实也是一个`DLL`文件，他里面导出了`x64dbg`所需要的几个函数，从而可以在`x64dbg`启动时被加载，除去所必须的导出函数外，其他功能的实现与`DLL`基本一致。
阅读全文
摘要：x64dbg 是一款开源、免费、功能强大的动态反汇编调试器，它能够在`Windows`平台上进行应用程序的反汇编、调试和分析工作。与传统的调试器如`Ollydbg`相比，x64dbg调试器的出现填补了`Ollydbg`等传统调试器的不足，为反汇编调试工作提供了更高效、更可靠的解决方案。正是因为有了这些优点，才能使其成为当今最受欢迎的反汇编调试软件之一。
阅读全文
摘要：在之前的文章中，我们实现了一个正向的匿名管道`ShellCode`后门，为了保证文章的简洁易懂并没有增加针对调用函数的动态定位功能，此类方法在更换系统后则由于地址变化导致我们的后门无法正常使用，接下来将实现通过PEB获取`GetProcAddrees`函数地址，并根据该函数实现所需其他函数的地址自定位功能，通过枚举内存导出表的方式自动实现定位所需函数的动态地址，从而实现后门的通用性。
阅读全文
摘要：本文将介绍如何将`CMD`绑定到双向管道上，这是一种常用的黑客反弹技巧，可以让用户在命令行界面下与其他程序进行交互，我们将从创建管道、启动进程、传输数据等方面对这个功能进行详细讲解。此外，本文还将通过使用汇编语言一步步来实现这个可被注入的`ShellCode`后门，并以此提高代码通用性。最终，我们将通过一个实际的漏洞攻击场景来展示如何利用这个后门实现内存注入攻击。
阅读全文
摘要：在笔者上一篇文章中简单的介绍了如何运用汇编语言编写一段弹窗代码，虽然简易`ShellCode`可以被正常执行，但却存在很多问题，由于采用了硬编址的方式来调用相应API函数的，那么就会存在一个很大的缺陷，如果操作系统的版本不统或系统重启过，那么基址将会发生变化，此时如果再次调用基址参数则会调用失败，本章将解决这个棘手的问题，通过`ShellCode`动态定位的方式解决这个缺陷，并以此设计出真正符合规范的`ShellCode`代码片段。
阅读全文
摘要：在前面的章节中相信读者已经学会了使用Metasploit工具生成自己的ShellCode代码片段了，本章将继续深入探索关于ShellCode的相关知识体系，ShellCode 通常是指一个原始的可执行代码的有效载荷，攻击者通常会使用这段代码来获得被攻陷系统上的交互Shell的访问权限，而现在用于描述一段自包含的独立的可执行代码片段。ShellCode代码的编写有多种方式，通常会优先使用汇编语言实现，这得益于汇编语言的可控性。ShellCode 通常会与漏洞利用并肩使用，或是被恶意代码用于执行进程代码的注入，通常情况下ShellCode代码无法独立运行，必须依赖于父进程或是Windows文件加载器的加载才能够被运行，本章将通过一个简单的弹窗（MessageBox）来实现一个简易版的弹窗功能，并以此来加深读者对汇编语言的理解。
阅读全文
摘要：在本节中，我们将介绍如何通过使用`Metasploit`生成加密载荷，以隐藏网络特征。前一章节我们已经通过`Metasploit`生成了一段明文的ShellCode，但明文的网络传输存在安全隐患，因此本节将介绍如何通过生成SSL证书来加密ShellCode，使得网络特征得到隐藏，从而提高后门的生存能力和抵抗网络特征分析的能力。
阅读全文
摘要：Metasploit 简称（MSF）是一款流行的开源渗透测试框架，由`Rapid7`公司开发，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。并且该框架还提供了一系列攻击模块和`Payload`工具，可用于漏洞利用、及漏洞攻击。同时软件自身支持多种操作系统平台，包括`Windows、Linux、MacOS`等。直到今天`Metasploit`已成为众多黑客手中渗透攻击的利器，并在安全领域大展身手。
阅读全文
