简记一次HVV免杀题

admin 2024年4月15日08:23:44评论11 views字数 1942阅读6分28秒阅读模式

想第一时间看到我们的大图推送吗?赶紧把我们设为星标吧!这样您就不会错过任何精彩内容啦!感谢您的支持!🌟

免责声明

      文章所涉及内容,仅供安全研究教学使用,由于传播、利用本文所提供的信息而造成的任何直接或间接的后果及损失,均由使用者本人负责,作者不为此承担任何责任。

前言

相信很多师傅都身怀绝技,但是谁又会嫌弃绝技多呢,不管是在工作面试中还是在hw面试中,多一项技能也多一分可能。

那么我们废话不多说开始正题!(这里我们通过还原当时场景来展示问题),该问题的很多答案,公众号都有文章,读者大大可以自行阅读,如果没有的,是师傅最近也在忙着准备hw后面也会更新。

1.1 如何绕过卡巴斯基

面:请简单说出如何绕过卡巴斯基

我:一般常规来说,我们都是通过VEH + syscall +hook,来进行内存操作,达到暂时绕过卡巴斯基,然后再配置一下profile流量特征,一般我们上线以后先sleep10分钟。(每个人过卡巴斯基的方法不一样,因人而异)

1.2如何隐藏进程链

面:请简单描述进程链隐藏的方法和原理。

我:进程链隐藏的范围很大,那我简单描述一下,首先是断链,一般世面上熟知的就是R3层的模块隐藏和R0层进程隐藏。

1.R3层,使用的是PEB这个结构体,他其中的LDR结构体中的LIST_ENTRY结构体,LDR中有3个这样的结构体,他们分别以不同的方式来排列进程中模块,然后模块中有两个指针分别是FLINK和BLINK,分别指向其前后的模块,相当于是一个闭环双向链表,我们通过修改我们需要的模块的前后指针来进行隐藏。

2.R0层的话方式和R3层差不多,R0层使用的是_EPROCESS这个结构体,然后的话,使用的是驱动,但是注册驱动需要使用签名所以可能使用有点困难。

1.3bypassETW

面:请简单说一下bypassETW

我:通过关闭ETW服务、清理日志文件、使用特殊工具、修改ETW配置、利用系统漏洞、执行合法系统调用或混淆操作来绕过事件跟踪日志(ETW),以隐藏其活动并避免被检测。(当时记得不清楚了,答了个大概)

1.4bypassAMSI

面:请简单说一下bypassAMSI

我:AMSI的话,绕过方式可以通过编码这些,或者去通过绕过他的函数BUFFER,去修改他函数执行以后得到返回值,这个返回是1~60000来定级,如果越高那么文件越危险,我们要讲返回值修改为0。

1.5bypassUAC

面:请简单说一下bypassUAC

我:UAC相当于劫持注册表,通过去劫持windows自带的exe,去执行我们的恶意脚本,这里的话,寻找windows的exe我们可以通过脚本去寻找,找到以后运行起来,使用工具去查看他是否访问了HKCUSoftwareClassesms-settingsshellopencommand这个注册表路径,因为我们注册表没有这个路径,所以我们需要去添加一下这个路径,让他继续访问,然后我们在查看,他会访问HKCUSoftwareClassesms-settingsshellopencommandDelegateExecute,然后在添加一个键值,这个键值就是我们的恶意程序,当我们运行,windows的那个exe时,就会启动我们的恶意程序。

1.6分离加载shellcode原理

面:说一下分离加载吧

我:好的面试官,分离加载就是将shellcode加密以后单独放置一个文件,通过他的路径将他读取进来,并且是以二进制的方式读取,然后加密最后执行,如果将shellcode放在loader当中会增大文件体积,让文件的熵值增加。

1.7内存执行函数

面:说一下有哪些内存执行函数

我:(这里我是有点懵的,我不知道他问题的范围,所以我答了个其他的)函数的话,我不确定,一般是用指针去执行,或者创建进程,线程去执行,具体函数我也确定您要的准确答案。

1.8hook函数原理

面:那说一下hook函数的原理

我:好的面试官,hook函数有两种IAT HOOK和inline HOOK ,我简单说一下inline HOOK吧,首先我们先通过dll文件获取到我们需要的函数的原始地址,然后我们再将我们函数的地址和原始函数的地址进行替换,在调用原始函数的时候就会执行我们的函数,这边的话有两种方式进行替换,一个是直接使用JMP指令另一个是使用MOV 加 JMP EAX。

后面就开始问我其他问题了,这里问题并不是固定的,很多面试官问的都不一样,因人而异。

总结:

1.1 如何绕过卡巴斯基

1.2如何隐藏进程链

1.3bypassETW

1.4bypassAMSI

1.5bypassUAC

1.6分离加载shellcode原理

1.7内存执行函数

1.8hook函数原理

回答的不好,大佬轻点喷

原文始发于微信公众号(泾弦安全):简记一次HVV免杀题

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月15日08:23:44
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   简记一次HVV免杀题https://cn-sec.com/archives/2657279.html

发表评论

匿名网友 填写信息