4.4 LyScript 绕过反调试保护机制
在Windows平台下,应用程序为了保护自己不被调试器调试会通过各种方法限制进程调试自身,通常此类反调试技术会限制我们对其进行软件逆向与漏洞分析,下面是一些常见的反调试保护方法:
- IsDebuggerPresent:检查当前程序是否在调试器环境下运行。
- OutputDebugString:向调试器发送特定的字符串,以检查是否有调试器在运行。
- CloseHandle:检查特定的句柄是否关闭,以判断是否有调试器在运行。
- GetTickCount:检查程序运行的时间,以判断是否有调试器在运行。
- PEB (Process Environment Block):检查PEB数据结构中的特定字段,以判断是否有调试器在运行。
- SEH (Structured Exception Handling):检查异常处理程序是否被替换,以判断是否有调试器在运行。
我们以第一种IsDebuggerPresent
反调试为例,该函数用于检查当前程序是否在调试器的环境下运行。函数返回一个布尔值,如果当前程序正在被调试,则返回True,否则返回False。
函数通过检查特定的内存地址来判断是否有调试器在运行。具体来说,该函数检查了PEB(进程环境块)
数据结构中的_PEB_LDR_DATA
字段,该字段标识当前程序是否处于调试状态。如果该字段的值为1,则表示当前程序正在被调试,否则表示当前程序没有被调试。
获取PEB的方式有许多,虽然LyScript插件内提供了get_peb_address(dbg.get_process_id())
系列函数可以直接获取到进程的PEB信息,但为了分析实现原理,笔者首先会通过代码来实现这个功能;
如下代码,通过在目标程序中创建一个堆空间并向其中写入汇编指令,最后将程序的EIP寄存器设置为堆空间的首地址,以使得程序运行时执行堆空间中的汇编指令。
具体来说,该代码通过调用MyDebug
类的create_alloc
方法创建一个堆空间,并通过调用assemble_at
方法向堆空间写入汇编指令。该代码先写入mov eax,fs:[0x30]
指令,该指令将FS寄存器
的值加上0x30
的偏移量存入EAX
寄存器,从而得到_PEB
数据结构的地址。
然后,代码再写入mov eax,[eax+0x0C]
指令,该指令将EAX寄存器加上0x0C
的偏移量后的值存入EAX寄存器,从而得到_PEB_LDR_DATA
数据结构的地址。最后,写入jmp eip
指令,以使得程序回到原来的EIP
位置。最后,代码通过调用set_register
方法设置EIP寄存器的值为堆空间的首地址,以使得程序运行时执行堆空间中的汇编指令。
from LyScript32 import MyDebug |
当这段读入汇编指令被执行时,此时PEB入口
地址将被返回给EAX
寄存器,用户只需要取出该寄存器中的参数即可实现读取进程PEB
的功能。
当PEB入口地址得到之后,只需要检查PEB+2
的位置标志,通过write_memory_byte()
函数向此处写出0即可绕过反调试,从而让程序可以被正常调试。
from LyScript32 import MyDebug |
这里笔者继续拓展一个新知识点,如何实现绕过进程枚举功能,病毒会利用进程枚举函数Process32FirstW
及Process32NextW
枚举所有运行的进程以确认是否有调试器在运行,我们可以在特定的函数开头处写入SUB EAX,EAX RET
指令让其无法调用枚举函数从而失效,写入汇编指令集需要依赖于set_assemble_opcde
函数,只需要向函数内传入内存地址,则自动替换地址处的汇编指令集;
from LyScript32 import MyDebug |
当上述代码被运行后,则Process32FirstW
与Process32FirstW
函数位置将被依次写出返回指令,从而让进程枚举失效,输出效果图如下所示;