APT高级漏洞利用技术.pdfVIP

APT 高级漏洞利用技术高级漏洞利用技术 要点 • 漏洞挖掘技术 • 漏洞漏洞利用利用技术技术 • APT对抗时代 • 高级APT对抗技术 •• 防护防护技术技术 漏洞挖掘技术 • 人工分析 • 程序自动化技术程序自动化技术 Fuzzing技术 污点分析等 •• 补丁比对技术补丁比对技术 • 静态分析技术 • 动态分析技术 漏洞利用技术 • 设计原则 完完美美、和谐的标准和谐的标准 ：： • 满足各种网络需求 • 只要求目标存在漏洞 •• 稳定稳定、可重复可重复 ，不影响目标系统不影响目标系统 • 可扩展、可对抗 • 简单、通用、傻瓜化 对抗防火墙 • 数据通道技术数据通道技术 client -- proxy -- firewall -- server • ecb ecbb-ReadCldClient ecb-WriteClient • 查找socket ggetppeername查找socket 字串匹配查找socket 对抗防火墙 • 有线程有线程recv的处理技术的处理技术 wins:wins: 1、shellcode hook closesocket 22、exploitexploit发送错误数据发送错误数据 ，serverserver关闭关闭 socket ，shellcode拦截 • rpc的端的端口复复用技术技术 11、、shellcodeshellcode hookhook 服务的服务的rpcnumrpcnum入口入口 2、exploit 调用 NdrSendReceive 溢出程序通用性技术 • 连续覆盖连续覆盖 • 同时使用同时使用ret、、seh • 自动版本识别 • 通用跳转地址通用跳转地址 代码页地址 • 通用指针 PEBPEB--RtlEnterCriticalSectionRtlEnterCriticalSection PEB-RtlLeaveCriticalSection shellcode 高级技术 • 解解码+shellcode框架框架 • Shellcodode通用性通用性 GetProocAddddress+ LoadLibraryA •• cc语言编写语言编写shellcodeshellcode • 编写具有shell功能的shellcode • hook技术技术 • 内存后门技术内存后门技术 • 通信加密 APT对抗时代 • 对抗DEP+ASLR+EMET+CFI • 如何对抗如何对抗ANTIANTI APTAPT设备设备 1、无关键代码缓存 2、无事后关键代码追踪线索 33、旁路旁路无法分析关键代码无法分析关键代码 APT 高级漏洞利用技术 DVEDVE数据数据虚拟虚拟执行技术执行技术 • 原理，97年两篇文章 《《注意注意利利用解解释型语言与型语言与CPU代代码相结合的新相结合的新 型病毒》 《《文本病毒文本病毒 （（病毒新理论病毒新理论 ）！）！》》 • 解释执行也是执行 • 利用漏洞增强指令集 • 构造指针突破解释执行虚拟机 • 远程代码执行转换成本地提权突破 突破点 • 关键通用的数据结构关键通用的数据结构 • Variant变量 • COM、VB、JS等大量使用 •• VBVB唯唯一数据类型数据类型 • JS9内部仍然保留使用 tagVARIANT的定义 struct __taggVARIANT { VARTYPE vt; WORD wReserved1;; WORD wReserved2; WORD wReserved3; unionunion {