Spis treści. Wstęp 15

Transkrypt

1 Praktyczna inżynieria wsteczna : metody, techniki i narzędzia / redakcja naukowa Mateusz Jurczyk i Gynvael Coldwind ; [autorzy]: Tomasz Bukowski [i 11 pozostałych]. Warszawa, 2016 Spis treści Wstęp Funkcje, struktury, klasy i obiekty na niskim poziomie Wywoływanie funkcji w językach (bardzo) niskiego poziomu CALL, RET i konwencje wywołań Konwencje wywołań x Konwencje wywołań x Struktury Zgadywanie" wielkości i ułożenia elementów struktury w pamięci Rozpoznawanie budowy struktur lokalnych i globalnych Rozpoznawanie budowy struktur dynamicznie alokowanych Klasy, obiekty, dziedziczenie i tablice wirtualne Prosta klasa a struktura Obiekty = struktury + funkcje + thiscall Wszystko zostaje w rodzinie, czyli dziedziczenie Podsumowanie Środowisko uruchomieniowe na systemach GNU/Linux Wstęp Pliki wykonywalne ELF Identyfikacja systemu i architektury docelowej Segmenty Segment PT_LOAD Segment PT_DYNAMIC Sekcja.dynamic Deklaracja bibliotek zależnych Wczesna inicjalizacja programu Środowisko uruchomieniowe Kod PIC Tablice GOT i PLT Program ładujący ld.so Zmienne środowiskowe LD_LIBRARY_PATH LD_PRELOAD LD_AUDIT Zrzucanie pamięci procesów System plików/proc 81

2 Pliki specjalne w /proc/pid Pliki specjalne maps i mem VDSO Wektory inicjalizacyjne Wstrzykiwanie kodu Wersja ptrace(2) Samomodyfikujący się kod Podsumowanie 98 Bibliografia Mechanizmy ochrony aplikacji Wstęp Przepełnienie bufora na stosie Procedury obsługi wyjątków Zapobieganie wykonaniu danych Losowość układu przestrzeni adresowej Dodatkowe materiały Podsumowanie 116 Bibliografia Metody przeciwdziałania odbudowie kodu aplikacji z pamięci procesu Wstęp Zawartość rozdziału Packery, szyfratory i protektory plików PE Emulowanie zabezpieczeń Ochrona przed odbudową kodu programu zapisanego z pamięci procesu Nanomity Skradziony punkt rozpoczęcia programu Przekierowanie i obfuskacja importowanych funkcji Podsumowanie 147 Bibliografia NET internals - format & RE Wstęp Format pliku.net JIT, czyli drugi stopień kompilacji programu Język pośredni CIL Przykład 1: add() Przykład 2: stringwritetest() Przykład 3: programflowtest() Dedykowane kontenery metadanych Wysokopoziomowa struktura programu zachowana w pliku wykonywalnym 161

3 Token Funkcje natywne AOT Inżynieria wsteczna Analiza statyczna Dekompilacja Rekompilacja i odtwarzanie działania programu Modyfikacja istniejących metod Debug dnspy Wtyczki do WinDbg Metody protekcji plików.net Nadpisywanie nazw nadanych przez użytkownika Szyfrowanie stałych tekstowych Utrudnianie dekompilacji Ukrywanie kodu programu Deobfuskacja Podsumowanie 180 Bibliografia Python - obfuskacja i inżynieria wsteczna Wstęp Obfuskacja a model wykonania Obfuskacja źródeł Pliki.рус i.pyo Bundlery i kompilator Py2exe cx_freeze PyInstaller Nuitka Inne bundlery i kompilatory Obiekty code i function Kod bajtowy i gdzie go szukać Prosta obfuskacja kodu bajtowego Samomodyfikujący się kod bajtowy Podsumowanie 224 Bibliografia Malware w owczej skórze, czyli o wstrzykiwaniu kodu w inne procesy Wstęp Przegląd technik wstrzykiwania Schemat działania Przygotowania przed implementacją Wybieranie celu 229

4 Wstrzykiwanie kodu do istniejącego procesu Wstrzykiwanie kodu do nowo uruchomionego procesu Wpisywanie kodu do zdalnego procesu Metody przekierowania do wstrzykniętego kodu Uruchomienie dodanego kodu w nowym wątku Dodawanie do istniejącego wątku (przy użyciu NtQueueApcThread) Nadpisywanie punktu wejścia procesu Nadpisywanie kontekstu procesu Dodawanie do okienka Tray PowerLoader Tworzenie wstrzykiwalnego kodu Podstawy shellcodu Warunki wstrzykiwania plików PE Wstępne przygotowanie pliku PE Samodzielne ładowanie pliku PE Konwersja surowego obrazu na wirtualny Pobieranie adresów tabel Rozwiązywanie relokacji Rozwiązywanie importów Przekierowanie wykonania do dodanego pliku PE Plik PE o cechach shellcodu Debugowanie wstrzykniętego kodu Metody wstrzykiwania plików PE Klasyczny DLL Injection Demonstracja Implementacja RunPE (Process Hollowing) Demonstracja Implementacja ChimeraPE Demonstracja Implementacja Reflective DLL injection Demonstracja Implementacja Wstrzyknięcia DLL na poziomie systemu operacyjnego AppInit_DLLs Shim + InjectDll Tag Podsumowanie 285 Bibliografia ELFie brudne sztuczki Wstęp ELFie struktury 289

5 8.3. Rozdwojenie jaźni Niewidzialny kod Misja: przechwycić resolver Klasyka wiecznie żywa DYNAMICzne zmiany Co dwie tablice to nie jedna Jeden bajt by nimi rządzić Podsumowanie 311 Bibliografia Łamanie zaawansowanych technik przekierowania API Wstęp Format PE - podstawy Tabela importów Tabela eksportów Proste metody obfuskacji IAT Przekierowania API z przepisywaniem kodu Zróbmy to lepiej! Weryfikacja hipotezy pod debuggerem Automatyczne przepisywanie plików DLL Pierwsza próba i pierwsze problemy Modyfikacja NTDLL Ostatnie poprawki Efekt końcowy Podsumowanie 337 Bibliografia Śledzenie ścieżki wykonania procesu w systemie Linux Wstęp Metody programowe Instrumentacja kodu źródłowego Instrumentacja programu w ramach kompilacji Instrumentacja kodu binarnego Śledzenie wywołań systemowych Śledzenie wywołań funkcji bibliotecznych Emulacja instrukcji Nagrywanie i odtwarzanie przebiegu ścieżki wykonania Metody programowo-sprzętowe Próbkowanie instrukcji Rejestry debuggera Wykonanie krokowe BTF (Branch Trap Flag) LBR (Intel Last Branch Record) BTS (Intel Branch Trace Store) IPT (Intel Processor Trace) 367

6 10.4. Metody sprzętowe Porównanie wydajności Podsumowanie Ciasteczko zagłady - studium przypadku eksploitacji routera Wstęp Konsola Architektura MIPS Ciasteczko i ból brzucha Co w trawie piszczy Funkcja sub_80244e Funkcja sub_802cf6e Funkcja sub_802457d Argumenty dla funkcji sub_ c Funkcja sub_ c Wykorzystanie podatności Adres docelowy Podsumowanie 404 Bibliografia W pogoni za flagą - eksploitacja na systemach Windows i Linux Wstęp Lokalne testowanie rozwiązań Multipurpose Calculation Machine (średnio trudne) Memory (łatwe) Crypto Machine (średnio trudne) Quarantine (bardzo trudne) Night Sky (bardzo trudne) Bubblegum (bardzo trudne) Antipasto (łatwe) Entree (średnio trudne) Podsumowanie 518 Bibliografia 518 Indeks 521 oprac. BPK