boywhp

驱动中牛

注册日期2007-08-09
最后登录2015-04-24
粉丝2
关注0
积分1105分
威望515点
贡献值0点
好评度254点
原创分1分
专家分0分

加关注写私信

阅读：2354回复：18

求如何隐蔽的注入一个进程，不要被主动防御发现

楼主^#

更多发布于：2007-09-28 15:52

看了看相关的资料，发现实用的少的可怜，绝大多数都是CreateRemoteThread
这基本上是找死啊！我个人的一点思路就是

1、运行时不能有进程，主要是为了隐藏以及突破防火墙
2、尽量不要修改注册表启动，可以使用感染PE文件
3、访问网络时不要开端口，移动要使用已有的端口通信
4、尽量不要修改关键的系统文件，比较容易暴露自己

基本流程是：首先感染一些不常见的exe，待exe激活后，枚举正常访问网络的PE文件,如：IE或者防火墙。注入代码到该进程，同时使用端口复用进行通信。在端口复用时候要注意不要被报警了。

最好的方式就是直接将代码写入正常访问网络的PE文件中。需要具体分析目标的访问网络的exe文件，这也是未来的趋势，因为内核越来越难进入了，驱动越来越难加载了，防御软件越来越凶残了；我们唯一安全的做法是针对特定的exe感染，而且该exe最好不要太拉风了，免得防御软件对其进行完整性校验。

当然以上只是我最近的一点想法而已，要具体实施还有太多的细节了，算是一个方向吧
期待大家讨论一下也没有什么好的方式进行进程注入的？不能使用CreateRemoteThread!!!

喜欢1

最新喜欢：

Leopar...

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	沙发^# 发布于：2007-09-28 15:55 不过要是能够绕过主动防御软件对CreateRemoteThreadd的监控也不错，不知道大多数的主动防御软件是怎么监控这个API的，不会是HOOK吧？
	回复(0) 喜欢(0)

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

板凳^#

发布于：2007-09-28 19:18

hook zwopenprocess,zwread/writeprocessmemory,zwcreatethread....etc

驱动开发者呵呵

回复喜欢

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	地板^# 发布于：2007-09-29 08:30 郁闷，最近又发现了一个BT的东西，Tiny FireWall 谁能够绕过这玩意，我拜他为师，好BT的东西，我看了一下也是SSDT HOOK了NtOpenProcess,然后只有MD5跟他带的MD5库中相符合的程序才能运行，否则就会警告。太BT了，还让不让人活啊，这以后还是搞应用开发算了。
	回复(0) 喜欢(0)

zjan521 驱动牛犊注册日期2002-10-02 最后登录2010-07-20 粉丝0 关注0 积分3分威望91点贡献值0点好评度74点原创分0分专家分0分加关注写私信	地下室^# 发布于：2007-09-29 11:00 总会有人能绕过的，只是当信息公开的时候，也就是方法失效的时候。
	回复(0) 喜欢(0)

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	5楼^# 发布于：2007-09-29 11:35 我测试了，如果恢复了SSDT，是可以绕过Tiny FireWall，但是关键是我运行恢复SSDT程序的时候他总是唧唧歪歪的，呵呵
	回复(0) 喜欢(0)

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

6楼^#

发布于：2007-09-29 11:55

Dump句柄即可
想不让他唧唧歪歪得自己想办法呵呵

驱动开发者呵呵

回复喜欢

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	7楼^# 发布于：2007-09-29 14:59 QIQI啥意思？
	回复(0) 喜欢(0)

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

8楼^#

发布于：2007-09-29 16:25

有个P办法？？你在执行前不通过它MD5验证，就没机会执行，没机会执行，你又有P用？？
那玩意想法不错，不过关键是太麻烦，智能化严重不足，虽然我也早实现过，而且能通用于X64下而不触犯PATCHGUARD ，可要做到方便实用，太困难了。

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	9楼^# 发布于：2007-09-29 16:46 喂！！！楼上的，留个email：boywhp@126.com 我比较崇拜你，呵呵，一直没找到好的师傅
	回复(0) 喜欢(0)

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

10楼^#

发布于：2007-09-29 17:22

所有的防火墙都是xxx

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	11楼^# 发布于：2007-09-29 18:09 你不信你看看tiny防火墙，你根本运行不了没认证的程序。看你怎么过防火墙
	回复(0) 喜欢(0)

wangjianfeng 驱动小牛注册日期2004-05-28 最后登录2013-10-02 粉丝0 关注0 积分1002分威望263点贡献值0点好评度260点原创分0分专家分0分加关注写私信	12楼^# 发布于：2007-09-29 18:29 用那个非常规方法加载驱动,在驱动中恢复SSDT,也许就不叫了.
	回复(0) 喜欢(0)

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	13楼^# 发布于：2007-09-29 21:23 关键是你总得启动一个进程吧？你启动不了
	回复(0) 喜欢(0)

wht0395

驱动小牛

注册日期2006-07-06
最后登录2009-06-10
粉丝0
关注0
积分583分
威望135点
贡献值0点
好评度122点
原创分0分
专家分0分

加关注写私信

14楼^#

发布于：2007-09-30 03:53

流氓

什么不懂的学生

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

15楼^#

发布于：2007-09-30 08:12

貌似插入个u盘就可以了

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

vocanicy 驱动牛犊注册日期2004-08-02 最后登录2010-09-27 粉丝0 关注0 积分58分威望7点贡献值0点好评度5点原创分0分专家分0分加关注写私信	16楼^# 发布于：2007-10-08 15:07 没用过这个tiny防火墙有个想法：用已经通过认证的程序启动我们的程序如果rundll32.exe、regsvr32.exe、IE、regedit.exe中有一个通过认证，应该还有办法加载我们的dll或者ocx吧
	回复(0) 喜欢(0)

boywhp 驱动中牛注册日期2007-08-09 最后登录2015-04-24 粉丝2 关注0 积分1105分威望515点贡献值0点好评度254点原创分1分专家分0分加关注写私信	17楼^# 发布于：2007-10-08 15:18 估计可以让其以DLL加载，关键是怎么处理加载我们DLL的问题
	回复(0) 喜欢(0)

safejmp 驱动牛犊注册日期2008-07-27 最后登录2010-09-21 粉丝0 关注0 积分6分威望25点贡献值0点好评度0点原创分0分专家分0分加关注写私信	18楼^# 发布于：2008-07-28 10:42 这个都不会？很好办，从文件获取SSDT的真是地址，内核直接调用就是了，还有一个变态的方法，就是从文件中读入前面的部分代码，在内存中执行，然后在跳转到真实地址去执行，也可以绕过inline HOOK.
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册