edr免杀之syscall

渗透技巧 2年前 (2021) admin
789 0 0

EDR检测与绕过原理

在创建R3进程的时候,EDR会hook用户层的相关windows API调用,从而完成对进程动态行为的监控。比如,hook VirtualAlloc,监控内存分配。hook CreateProcess,监控进程创建。可以在用户层完成hook,也可以在内核层hook。用户层hook的好处是对性能的影响较小,相对于内核层hook更稳定,不容易导致系统蓝屏,所以很多EDR会选择在用户层hook,同时在内核层使用回调监控重要的内核api调用。一个进程分配了RWX属性的内存,或者修改了内存属性,将RW的内存修改为了RWX,由于RWX内存属性是shellcode或反射型DLL加载所用的内存属性,因此EDR会对申请的内存进行扫描,匹配到恶意软件的yara规则后,将会杀死恶意进程,并向控制中心发送告警。为了避免在用户层被EDR hook的敏感函数检测到敏感行为,利用从ntdll中读取到的系统调用号进行系统直接调用来绕过敏感API函数的hook。

SysWhispers2

国外的师傅开源一个仓库SysWhispers2,代码原理是从内存当中的ntdll中根据导出函数的地址顺序,确定系统调用号。SysWhispers2的优点是对于开发者而言,只需要正常调用Nt*系列函数即可,封装比较便捷,缺点也很明显,会增加代码所占用空间。

edr免杀之syscall


首先程序需要调用SW2_PopulateSyscallList从内存当中搜索NTDLL内存模块,需要注意的是,这里作者是通过名称比较来判断的。

edr免杀之syscall


找到这个ntdll模块之后,遍历导出函数表确定导出的Zw的函数地址,并保存到全局syscall表中。

edr免杀之syscall


对函数地址倒序排序存储,系统调用ENTRY的数组下标即为系统调用号。

edr免杀之syscall


edr免杀之syscall


这之后就可以像调用正常的Nt*函数一样直接走syscall调用,syscall的调用号通过预先定义的HASH值从存储的函数数组中搜索,比较相等的函数HASH的下标即为调用号。

Hell’s Gate

Hell’s Gate方式是另一种syscall动态调用方案,其原理是从内存中已经加载的ntdll.dll模块中通过解析导出表,定位函数地址,再通过特征码获取系统调用号,这种方式的好处是可以准确的获取系统调用号,缺点是需要一个干净的内存ntdll模块,否则将无法完成syscall调用号的获取(遇到hook ntdll系统调用的EDR就不行了)。

edr免杀之syscall


edr免杀之syscall


首先获取进程PEB信息,并判断系统版本,如果不是windows 10,则直接退出程序。

edr免杀之syscall


edr免杀之syscall


获取导出表信息,如果没有找到导出表,则直接退出。

edr免杀之syscall


edr免杀之syscall


通过遍历导出表,找到与函数HASH相同的地址信息,然后简单粗暴的比较几个字节,判断函数是否被HOOK,如果被HOOK就直接返回FALSE。

edr免杀之syscall


edr免杀之syscall


最后通过传入函数获取到的系统调用号,执行payload,完成direct syscall调用。

Halo’s Gate

Halo’s Gate是对Hell’s Gate的增强。Halo’s Gate的原理是EDR不可能HOOK全部的Nt*函数,总有一些不敏感的函数没有被HOOK,程序当中以STUB_SIZE(这个长度为32)上下循环遍历,找到没有被HOOK的STUB后获取其系统调用号再减去移动的步数,就是所要搜索的系统调用号。这种方式的优点是可以避免所要搜索的函数被hook之后,程序直接返回。

edr免杀之syscall


Tartarus’ Gate

Tartarus’ Gate其作者声称是对Halo’s Gate的增强,然而当读完代码之后,笔者觉得新增的check没有意义。

edr免杀之syscall


比较第一个字节和第四个是否是0xe9(jmp指令),来判断是否被hook,这种例外已经被特征码匹配所包含,所以笔者觉得新增的代码判断没有意义。

另一种获取干净的ntdll的方式

这一点已经被EDR作为异常行为监控的特点之一,可以参看检测使用syscall的恶意软件tips。原理是从系统磁盘读取一份ntdll(x86进程是C:WindowsSysWow64ntdll.dll,x64进程是C:WindowsSysten32ntdll.dll)的数据到内存,通过原始文件中的导出表数据获取没有被hook的Nt函数,进而获得系统调用号。github上有利用这一技术的poc实现,HellsGatePoc

edr免杀之syscall


测试bypass效果

笔者这里以64位加载器为例,测试windows defender bypass效果。

edr免杀之syscall


使用shellcode生成框架生成上线的shellcode,转换为C语言数组格式,利用syscall编写的加载器执行上线,shellcode未经过编码加密。

edr免杀之syscall


edr免杀之syscall


windows defender保护状态为全开,桌面文件夹也没在排除项中。

edr免杀之syscall


绕过defender查杀上线成功,其他杀软请自行进行修改测试,这里只是验证syscall绕过查杀的效果。

参考文献

  • processhacker 2.39

  • Sysinternals Suite

  • SysWhispers2

  • implementing-direct-syscalls-using-hells-gate

  • Hell’s Gate

  • 检测使用syscall的恶意软件tips

  • Halo’s Gate

  • Tartarus’ Gate

  • SysWhispers2_x86



知识星球介绍:

一次付费 永久免费,到期联系运营即可免费加入】 星球面向群体:主要面向信息安全研究人员. 更新周期:最晚每两天更新一次. 内容方向:WEB安全|内网渗透|Bypass|代码审计|CTF|免杀|思路技巧|实战分享|原创工具

edr免杀之syscall


原文始发于微信公众号(RedCode Team):edr免杀之syscall

版权声明:admin 发表于 2021年12月11日 上午10:00。
转载请注明:edr免杀之syscall | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...