APT高级漏洞利用技术（论文资料）

《APT高级漏洞利用技术（论文资料）》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、APT高级漏洞利用技术WhoamI?真名:袁仁广网名:yuange360漏洞实验室主任2008北京奥运会特聘信息安全专家中国国家信息安全漏洞库特聘专家98年发现win9x网络共享密码验证漏洞20多年的安全对抗经验要点漏洞挖掘技术漏洞利用技术APT对抗时代高级APT对抗技术防护技术漏洞挖掘技术人工分析程序自动化技术Fuzzing技术污点分析等补丁比对技术静态分析技术动态分析技术漏洞利用技术设计原则完美、和谐的标准：满足各种网络需求只要求目标存在漏洞稳定、可重复，不影响目标系统可扩展、可对抗简单、通用、傻瓜化对抗防火墙数据通道技术client<-->proxy

2、<-->firewall<-->serverecbecb->ReadClientecb->WriteClient查找socketgetpeername查找socket字串匹配查找socket对抗防火墙有线程recv的处理技术wins:1、shellcodehookclosesocket2、exploit发送错误数据，server关闭socket，shellcode拦截rpc的端口复用技术1、shellcodehook服务的rpcnum入口2、exploit调用NdrSendReceive溢出程序通用性技术连续覆盖同时使用ret、seh自动版本识别通用跳转地

3、址代码页地址通用指针PEB->RtlEnterCriticalSectionPEB->RtlLeaveCriticalSectionshellcode高级技术解码+shellcode框架Shellcode通用性GetProcAddress+LoadLibraryAc语言编写shellcode编写具有shell功能的shellcodehook技术内存后门技术通信加密APT对抗时代对抗DEP+ASLR+EMET+CFI如何对抗ANTIAPT设备1、无关键代码缓存2、无事后关键代码追踪线索3、旁路无法分析关键代码APT高级漏洞利用技术DVE数据虚拟执行技术原理，

4、97年两篇文章《注意利用解释型语言与CPU代码相结合的新型病毒》《文本病毒（病毒新理论）！》解释执行也是执行利用漏洞增强指令集构造指针突破解释执行虚拟机远程代码执行转换成本地提权突破突破点关键通用的数据结构Variant变量COM、VB、JS等大量使用VB唯一数据类型JS9内部仍然保留使用tagVARIANT的定义struct__tagVARIANT{VARTYPEvt;WORDwReserved1;WORDwReserved2;WORDwReserved3;union{LONGLONGllVal;LONGlVal;BYTEbVal;SHORTiVal;S

5、AFEARRAY*parray;typedefunsignedshortVARTYPE;VARTYPE列举enumVARENUM{VT_EMPTY=0,VT_NULL=1,VT_I2=2,VT_I4=3,VT_R4=4,VT_R8=5,VT_BSTR=8,VT_VARIANT=12,VT_VECTOR=0x1000,VT_ARRAY=0x2000,VT_BYREF=0x4000,};tagSAFEARRAY的定义typedefstructtagSAFEARRAY{USHORTcDims;USHORTfFeatures;ULONGcbElements;ULO

6、NGcLocks;PVOIDpvData;SAFEARRAYBOUNDrgsabound[1];}SAFEARRAY;constUSHORTFADF_HAVEVARTYPE=0x0080;/*arrayhasaVTtype*/constUSHORTFADF_VARIANT=0x0800;/*anarrayofVARIANTs*/typedefstructtagSAFEARRAYBOUND{ULONGcElements;LONGlLbound;}SAFEARRAYBOUND;具体利用实现细节通过漏洞修改VARTYPEvt修改vt得到需要的数组，cc++指针

7、通过数组修改关键数据通过修改保护模式实现控件加载通过控件实现完全控制脚本就是shellcode跟踪演示代码myarray=chrw(01)&chrw(2176)&chrw(01)&chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(32767)&chrw(00)&chrw(0)document.write(vartype(myarray))document.write(vartype(myarray(&h7ffe0030)))

8、pt>跟踪过程0:008:x86>bpvbscript!vbsva